関連トピック

# BOVPN 仮想インターフェイスの例

Branch Office VPN を仮想インターフェイスとして構成すると、Firebox ではパケットの送信インターフェイスに基づいて、トンネル経由でパケットが送信されます。BOVPN 仮想インターフェイスはルーティング テーブルにあり、VPN トンネル経由でトラフィックを送信するかどうかに関する決定には、静的・動的ルートおよびポリシーベースのルーティングが影響します。これにより、BOVPN トンネルを使用するように Firebox を構成する方法において柔軟性が高まります。

BOVPN 仮想インターフェイスは構成ではインターフェイスとしてみなされるため、柔軟な構成方法とルーティング オプションを選択することができます。このページには、異なる目的に応じて、BOVPN 仮想インターフェイスを使用するように Firebox を構成する方法における 3 つの構成オプションが示されています。

## メトリックベースの VPN フェールオーバーおよび Failback

目的

MPLS リンクで接続された 2 つのサイトにおいて、トラフィックが IP ネットワークを介して自動的にセカンダリ Branch Office VPN 接続にフェールオーバーおよびフェールバックするようにします。

構成の概要

- MPLS ネットワークを介して 2 つのサイト間をプライマリ接続する外部インターフェイスを構成します。プライマリ接続には動的ルートが使用されているか、またはそれが BOVPN 仮想インターフェイスとして構成されている必要があります。プライマリ ルートに高いメトリックが設定されるように、またはプライマリ接続が利用できない場合にルーティング テーブルから削除されるようにするために、これを行う必要があります。
- 2 つのサイト間のセカンダリ リンク用に BOVPN 仮想インターフェイスを構成します。
- BOVPN 仮想インターフェイスの静的ルートを追加して、ルートに高いメトリック (200 など) を設定します。

詳細な構成例については、次を参照してください：メトリックス ベースのフェール オーバーの BOVPN 仮想インターフェイス。

仕組み

この構成では、2 つのサイト間に 2 つのルートがあります。

- MPLS ネットワーク経由のルート
- BOVPN 仮想インターフェイス経由の別の静的ルート

2 つのルートが利用可能である場合には、どちらのルートに高い優先度（メトリックが低い）があるかに基づいて、パケットが進む経路に関する最終決定が下されます。BOVPN 仮想インターフェイスのルートはメトリックが高いため、MPLS リンクが利用可能な場合には、Firebox では MPLS リンク経由のプライマリ ルートが使用されます。MPLS リンクが利用可能でない場合は、プライマリ ルートがルーティング テーブルから削除されるか、またはセカンダリ BOVPN 仮想インターフェイスのルートよりも高いメトリックがプライマリ ルートに割り当てられます。そうすると、セカンダリ BOVPN 仮想インターフェイスのルート メトリックが最も低くなるため、Firebox ではセカンダリ BOVPN 仮想インターフェイス経由のルートが使用されることになります。MPLS ルートが再び利用可能になると、そのメトリックが低いため、Firebox で自動的に再びそのルートが使用されるようになります。

2 つの BOVPN 仮想インターフェイス間の自動フェールオーバーとフェールバックを有効にする際も、同様の構成を使用することができます。自動フェールオーバーとフェールバックを有効にするには、それぞれの静的ルートで、2 つの BOVPN 仮想インターフェイスを作成し、バックアップの BOVPN ルートよりも低いメトリックを優先する BOVPN ルートに設定します。

## 動的ルーティングの BOVPN 仮想インターフェイス

目的

2 つのサイト間で、セキュアな VPN トンネルを介して、複数のローカル ネットワークに関する情報を動的に交換できるようにします。この構成では、各サイトにおけるすべてのプライベート ネットワーク間で、明示的に構成されたルートを手動で追加および維持する必要がありません。

BGP を使用する動的ルートを Microsoft Azure に構成するには、Microsoft PowerShell を使用する必要があります。OSPF を使用した Microsoft Azure 仮想ネットワークへの動的ルートはサポートされていません。詳細については、Microsoft Azure への動的ルートの BOVPN 仮想インターフェイス を参照してください。

OSPF を使用した Amazon Web Services 仮想ネットワークへの動的ルートはサポートされていません。詳細については、Amazon Web Services (AWS) への動的ルーティングの BOVPN 仮想インターフェイス を参照してください。

構成の概要

- 2 つのサイト間における Branch Office VPN を BOVPN 仮想インターフェイスとして構成します。VPN ルート タブで、仮想 IP アドレスを構成します。非アクティブの際に、フェーズ 1 トンネルを開始する チェックボックスが選択されていることを確認します。

- 2 つのサイト間の動的ルートを有効化します。動的ルート構成で、ピア ネットワーク IP アドレスとして仮想 IP アドレスを使用します。
  - OSPF では、ネットワーク コマンドを使用して、/32 ネットマスクでピア仮想 IP アドレスを構成します。
    例：network <peer_virtual_ip>/32 area 0.0.0.0
  - BGP では、ネイバー コマンド、およびピア仮想 IP アドレスを使用します。
    例：neighbor <peer_virtual_ip> remote-as 65535
- 各デバイスがルートをどのローカル ネットワークに伝播するかを構成する場合は、動的ルート コマンドを使用します。動的ルートを制御するには、OSPF の インターフェイス コスト または BGP の ローカルの基本設定 を使用することができます。OSPF では、インターフェイス コストが低いほど、ルートの優先度が高くなります。BGP では、ローカルの基本設定が高いほど、ルートの優先度が高くなります。

動的ルートでの BOVPN 構成の詳細な例については、次を参照してください：

- 動的ルーティングの BOVPN 仮想インターフェイス
- Cisco への動的ルーティングの BOVPN 仮想インターフェイス
- Microsoft Azure への動的ルーティングの BOVPN 仮想インターフェイス
- Amazon Web Services (AWS) への動的ルーティングの BOVPN 仮想インターフェイス

仕組み

BOVPN 仮想インターフェイスにより、2 つのサイト間における接続が確立されます。各サイトは、動的ルート構成に基づいて、ローカル ネットワークのルートを伝播します。動的ルート プロトコルにより、各ゲートウェイは BOVPN トンネルの他方にあるゲートウェイの配下のローカル ネットワークへのルートを自動的に学習することができます。選択された動的ルーティング プロトコルに応じて、ルートの優先度がインターフェイス コストかローカルの基本設定のいずれかに基づくか、またはその両方に基づくかが決定されます。

## ポリシーベースのルーティングで構成された BOVPN 仮想インターフェイス

目的

1 つのサイト (サイト A) に、単一の外部インターフェイスと 2 つの外部インターフェイスがある別のサイト (サイト B) への 2 つの Branch Office VPN ゲートウェイがあるとします。サイト B の 2 つのネットワーク接続の品質とコストは異なっています。目的は、VoIP などのレイテンシーの影響を受けやすいトラフィックをネットワーク上のトンネルを介して最小レイテンシーで送信し、FTP などの他のトラフィックすべてを他のトンネル ルート経由で送信することです。

構成の概要

サイト A のデバイス：

- サイト A とサイト B の低レイテンシー リンクを使用する外部インターフェイス間に BOVPN 仮想インターフェイスを構成します。VPN ルート タブで、ルートを追加する必要はありません。最初の BOVPN 仮想インターフェイスは bvpn1 となります。BOVPN 仮想インターフェイス構成で、非アクティブの際に、フェーズ 1 トンネルを開始する チェックボックスが選択されていることを確認します。
- サイト A とサイト B の 2 番目の外部インターフェイス間に別の BOVPN 仮想インターフェイスを構成します。2 番目の BOVPN 仮想インターフェイスは bvpn2 となります。その他のトラフィックにルートを追加することができます。
- VoIP トラフィックの SIP ポリシーを編集します。
  - 送信元 リストに、このポリシーの送信元によりトラフィックが処理されるローカル ネットワークのネットワーク アドレスを追加します。
  - 送信先 リストに、このポリシーの転送元によりトラフィックが処理されるリモート サイトの信頼済みネットワークまたは任意ネットワークのネットワーク アドレスを追加します。
  - ポリシーベースのルーティングを有効化します。このポリシーのレイテンシーが低いほうの BOVPN 仮想インターフェイスを選択します。
- 他すべてのトラフィックでは、静的ルートか動的ルートのいずれかを定義し、レイテンシーがより高い他の BOVPN 仮想インターフェイスを使用することができます。

サイト B のデバイス：

- サイト B とサイト A の最初の外部インターフェイス間で BOVPN 仮想インターフェイスを構成します。VPN ルート タブで、ルートを追加する必要はありません。これは bvpn1 で、この例では低レイテンシーのリンクです。非アクティブの際に、フェーズ 1 トンネルを開始する チェックボックスが選択されていることを確認します。
- サイト A とサイト B の 2 番目の外部インターフェイス間に BOVPN 仮想インターフェイスを構成します。これは、bvpn2 となります。その他のトラフィックにルートを追加することができます。
- VoIP トラフィックの SIP ポリシーを編集します。
  - 送信元 リストに、このポリシーの送信元によりトラフィックが処理されるローカル ネットワークのネットワーク アドレスを追加します。
  - 送信先 リストに、このポリシーの転送元によりトラフィックが処理されるリモート サイトの信頼済みネットワークまたは任意ネットワークのネットワーク アドレスを追加します。
  - ポリシーベースのルーティングを有効化します。このポリシーのレイテンシーが低いほうの BOVPN 仮想インターフェイスを選択します。
- 他すべてのトラフィックでは、静的ルートか動的ルートのいずれかを定義し、レイテンシーがより高い他の BOVPN 仮想インターフェイスを使用することができます。

詳細な構成例については、次を参照してください：ポリシーベースのルーティングで構成された BOVPN 仮想インターフェイス。

仕組み

2 つの BOVPN 仮想インターフェイスにより、それぞれ 2 つのサイト間における接続が確立されます。送信元アドレスと宛先アドレスは、ポリシー (この例の場合は SIP ポリシー) により指定されます。BOVPN 仮想インターフェイス設定ではルートは定義されていませんが、SIP ポリシーはポリシーベースのルーティング（PBR）を使用して、低レイテンシー接続のトンネル経由でトラフィックをリダイレクトします。パケットは暗号化され、トンネル経由でトラフィックが送信されます。BOVPN 仮想インターフェイスから別の BOVPN 仮想インターフェイスへの PBR フェールオーバーは構成することができないため、この構成では他のトンネルへのフェールオーバーは提供されません。

すべての VoIP トラフィックがサイト A から発信される場合は、サイト B のポリシーにポリシーベースのルーティングを構成する必要はありません。サイト A から発信されてトンネル経由でサイト B に移動する SIP 接続の場合は、応答トラフィックは、受信されたのと同じトンネル経由で自動的に送信されます。

#### 関連情報

データ損失防止について

動的ルーティングについて

ポリシー ベースのルーティングを構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索