IPSec ルータ間のフルメッシュの設定

ダウンロードオプション

PDF (258.5 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (87.5 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (113.6 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2005 年 2 月 17 日

Document ID:14134

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

表記法

設定

ネットワーク図

設定

確認

トラブルシュート

トラブルシューティングのためのコマンド

概要

この設定例は、3 台のルータ間のフルメッシュ暗号化を示しています。つまり、各ルータは 2 つのピアそれぞれの背後にあるネットワークに対して、1 つずつ暗号化マップを使用しています。

暗号化は、次の方向で実行されます。

160.160.160.x ネットワークから 170.170.170.x ネットワークへ
160.160.160.x ネットワークから 180.180.180.x ネットワークへ
170.170.170.x ネットワークから 180.180.180.x ネットワークへ

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

Cisco IOS® ソフトウェアリリース 12.2.7C および 12.2.8(T)4
Cisco 2500 および 3600 ルータ

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

dr_Whoovie の設定
yertle の設定
thidwick の設定

注：これらの設定は、このドキュメント内の現在のコード（2003年11月）で最近テストされています。

dr_Whoovie の設定
Current configuration: ! version 12.2 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname dr_whoovie ! enable secret 5 $1$KxKv$cbqKsZtQTLJLGPN.tErFZ1 enable password ww ! ip subnet-zero ! cns event-service server ! !--- Internet Key Exchange (IKE) Policies: crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco123 address 150.150.150.3 crypto isakmp key cisco123 address 150.150.150.2 ! !--- IPSec Policies: crypto ipsec transform-set 170cisco esp-des esp-md5-hmac crypto ipsec transform-set 180cisco esp-des esp-md5-hmac ! crypto map ETH0 17 ipsec-isakmp set peer 150.150.150.2 set transform-set 170cisco !--- Include the 160.160.160.x to 170.170.170.x network !--- in the encryption process. match address 170 crypto map ETH0 18 ipsec-isakmp set peer 150.150.150.3 set transform-set 180cisco !--- Include the 160.160.160.x to 180.180.180.x network !--- in the encryption process. match address 180 ! interface Ethernet0 ip address 150.150.150.1 255.255.255.0 no ip directed-broadcast no ip route-cache no ip mroute-cache no mop enabled crypto map ETH0 ! interface Ethernet1 no ip address no ip directed-broadcast shutdown ! interface Serial0 ip address 160.160.160.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache no fair-queue ! interface Serial1 no ip address no ip directed-broadcast clockrate 4000000 ! ip classless ip route 170.170.170.0 255.255.255.0 150.150.150.2 ip route 180.180.180.0 255.255.255.0 150.150.150.3 no ip http server ! !--- Include the 160.160.160.x to 170.170.170.x network !--- in the encryption process. access-list 170 permit ip 160.160.160.0 0.0.0.255 170.170.170.0 0.0.0.255 !--- Include the 160.160.160.x to 180.180.180.x network !--- in the encryption process. access-list 180 permit ip 160.160.160.0 0.0.0.255 180.180.180.0 0.0.0.255 dialer-list 1 protocol ip permit dialer-list 1 protocol ipx permit ! line con 0 transport input none line aux 0 line vty 0 4 password ww login ! end

dr_Whoovie の設定

Current configuration:
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname dr_whoovie
!
enable secret 5 $1$KxKv$cbqKsZtQTLJLGPN.tErFZ1
enable password ww
!
ip subnet-zero
!
cns event-service server
!

!--- Internet Key Exchange (IKE) Policies:

crypto isakmp policy 1
authentication pre-share
crypto isakmp key cisco123 address 150.150.150.3 
crypto isakmp key cisco123 address 150.150.150.2 
!

!--- IPSec Policies:

crypto ipsec transform-set 170cisco esp-des esp-md5-hmac 
crypto ipsec transform-set 180cisco esp-des esp-md5-hmac 
!
crypto map ETH0 17 ipsec-isakmp 
set peer 150.150.150.2
set transform-set 170cisco

!--- Include the 160.160.160.x to 170.170.170.x network !--- in the encryption process. 

match address 170
crypto map ETH0 18 ipsec-isakmp 
set peer 150.150.150.3
set transform-set 180cisco 

!--- Include the 160.160.160.x to 180.180.180.x network !--- in the encryption process.

match address 180
!
interface Ethernet0
ip address 150.150.150.1 255.255.255.0
no ip directed-broadcast
no ip route-cache
no ip mroute-cache
no mop enabled
crypto map ETH0
!
interface Ethernet1
no ip address
no ip directed-broadcast
shutdown
!
interface Serial0
ip address 160.160.160.1 255.255.255.0
no ip directed-broadcast
no ip mroute-cache
no fair-queue
!
interface Serial1
no ip address 
no ip directed-broadcast
clockrate 4000000
!
ip classless
ip route 170.170.170.0 255.255.255.0 150.150.150.2
ip route 180.180.180.0 255.255.255.0 150.150.150.3
no ip http server
!

!--- Include the 160.160.160.x to 170.170.170.x network !--- in the encryption process.

access-list 170 permit ip 160.160.160.0 0.0.0.255 170.170.170.0 0.0.0.255

!--- Include the 160.160.160.x to 180.180.180.x network !--- in the encryption process.

access-list 180 permit ip 160.160.160.0 0.0.0.255 180.180.180.0 0.0.0.255
dialer-list 1 protocol ip permit
dialer-list 1 protocol ipx permit
!
line con 0
transport input none
line aux 0
line vty 0 4
password ww
login
!
end

yertle の設定
Current configuration: ! version 12.2 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname yertle ! enable secret 5 $1$me5Q$2kF5zKlPPTvHEBdGiEZ9m/ enable password ww ! ip subnet-zero ! cns event-service server ! !--- IKE Policies: crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco123 address 150.150.150.3 crypto isakmp key cisco123 address 150.150.150.1 ! !--- IPSec Policies: crypto ipsec transform-set 160cisco esp-des esp-md5-hmac crypto ipsec transform-set 180cisco esp-des esp-md5-hmac ! crypto map ETH0 16 ipsec-isakmp set peer 150.150.150.1 set transform-set 160cisco !--- Include the 170.170.170.x to 160.160.160.x network !--- in the encryption process. match address 160 crypto map ETH0 18 ipsec-isakmp set peer 150.150.150.3 set transform-set 180cisco !--- Include the 170.170.170.x to 180.180.180.x network !--- in the encryption process. match address 180 ! interface Ethernet0 ip address 150.150.150.2 255.255.255.0 no ip directed-broadcast no ip route-cache no ip mroute-cache no mop enabled crypto map ETH0 ! interface Serial0 no ip address no ip directed-broadcast no ip mroute-cache shutdown no fair-queue ! interface Serial1 ip address 170.170.170.1 255.255.255.0 no ip directed-broadcast ! ip classless ip route 160.160.160.0 255.255.255.0 150.150.150.1 ip route 180.180.180.0 255.255.255.0 150.150.150.3 no ip http server ! !--- Include the 170.170.170.x to 160.160.160.x network !--- in the encryption process. access-list 160 permit ip 170.170.170.0 0.0.0.255 160.160.160.0 0.0.0.255 !--- Include the 170.170.170.x to 180.180.180.x network !--- in the encryption process. access-list 180 permit ip 170.170.170.0 0.0.0.255 180.180.180.0 0.0.0.255 dialer-list 1 protocol ip permit dialer-list 1 protocol ipx permit ! line con 0 transport input none line aux 0 line vty 0 4 password ww login ! end

yertle の設定

Current configuration:
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname yertle
!
enable secret 5 $1$me5Q$2kF5zKlPPTvHEBdGiEZ9m/
enable password ww
!
ip subnet-zero
!
cns event-service server
!

!--- IKE Policies:

crypto isakmp policy 1
authentication pre-share
crypto isakmp key cisco123 address 150.150.150.3 
crypto isakmp key cisco123 address 150.150.150.1 
!

!--- IPSec Policies:

crypto ipsec transform-set 160cisco esp-des esp-md5-hmac 
crypto ipsec transform-set 180cisco esp-des esp-md5-hmac 
!
crypto map ETH0 16 ipsec-isakmp 
set peer 150.150.150.1
set transform-set 160cisco

!--- Include the 170.170.170.x to 160.160.160.x network !--- in the encryption process. 

match address 160
crypto map ETH0 18 ipsec-isakmp 
set peer 150.150.150.3
set transform-set 180cisco 

!--- Include the 170.170.170.x to 180.180.180.x network !--- in the encryption process. 

match address 180
!
interface Ethernet0
ip address 150.150.150.2 255.255.255.0
no ip directed-broadcast
no ip route-cache
no ip mroute-cache
no mop enabled
crypto map ETH0
!
interface Serial0
no ip address
no ip directed-broadcast
no ip mroute-cache
shutdown
no fair-queue
!
interface Serial1
ip address 170.170.170.1 255.255.255.0
no ip directed-broadcast
!
ip classless
ip route 160.160.160.0 255.255.255.0 150.150.150.1
ip route 180.180.180.0 255.255.255.0 150.150.150.3
no ip http server
!

!--- Include the 170.170.170.x to 160.160.160.x network !--- in the encryption process. 

access-list 160 permit ip 170.170.170.0 0.0.0.255 160.160.160.0 0.0.0.255

!--- Include the 170.170.170.x to 180.180.180.x network !--- in the encryption process. 

access-list 180 permit ip 170.170.170.0 0.0.0.255 180.180.180.0 0.0.0.255
dialer-list 1 protocol ip permit
dialer-list 1 protocol ipx permit
!
line con 0
transport input none
line aux 0
line vty 0 4
password ww
login
!
end

thidwick の設定
Current configuration: ! version 12.2 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname thidwick ! enable secret 5 $1$Pcpo$fj4FNS1dEDY9lGg3Ne6FK1 enable password ww ! ip subnet-zero ! isdn switch-type basic-5ess isdn voice-call-failure 0 cns event-service server ! !--- IKE Policies: crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco123 address 150.150.150.1 crypto isakmp key cisco123 address 150.150.150.2 ! !--- IPSec Policies: crypto ipsec transform-set 160cisco esp-des esp-md5-hmac crypto ipsec transform-set 170cisco esp-des esp-md5-hmac ! crypto map ETH0 16 ipsec-isakmp set peer 150.150.150.1 set transform-set 160cisco !--- Include the 180.180.180.x to 160.160.160.x network !--- in the encryption process. match address 160 crypto map ETH0 17 ipsec-isakmp set peer 150.150.150.2 set transform-set 170cisco !--- Include the 180.180.180.x to 170.170.170.x network !--- in the encryption process. match address 170 ! interface Ethernet0 ip address 150.150.150.3 255.255.255.0 no ip directed-broadcast no ip route-cache no ip mroute-cache no mop enabled crypto map ETH0 ! interface Serial0 no ip address no ip directed-broadcast no ip mroute-cache no fair-queue clockrate 4000000 ! interface Serial1 ip address 180.180.180.1 255.255.255.0 no ip directed-broadcast clockrate 4000000 ! interface BRI0 no ip address no ip directed-broadcast shutdown isdn switch-type basic-5ess ! ip classless ip route 160.160.160.0 255.255.255.0 150.150.150.1 ip route 170.170.170.0 255.255.255.0 150.150.150.2 no ip http server ! !--- Include the 180.180.180.x to 160.160.160.x network !--- in the encryption process. access-list 160 permit ip 180.180.180.0 0.0.0.255 160.160.160.0 0.0.0.255 !--- Include the 180.180.180.x to 170.170.170.x network !--- in the encryption process. access-list 170 permit ip 180.180.180.0 0.0.0.255 170.170.170.0 0.0.0.255 dialer-list 1 protocol ip permit dialer-list 1 protocol ipx permit ! line con 0 transport input none line aux 0 line vty 0 4 password ww login ! end

thidwick の設定

Current configuration:
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname thidwick
!
enable secret 5 $1$Pcpo$fj4FNS1dEDY9lGg3Ne6FK1
enable password ww
!
ip subnet-zero
!
isdn switch-type basic-5ess
isdn voice-call-failure 0
cns event-service server
!

!--- IKE Policies:

crypto isakmp policy 1
authentication pre-share
crypto isakmp key cisco123 address 150.150.150.1 
crypto isakmp key cisco123 address 150.150.150.2 
!

!--- IPSec Policies:

crypto ipsec transform-set 160cisco esp-des esp-md5-hmac 
crypto ipsec transform-set 170cisco esp-des esp-md5-hmac 
!
crypto map ETH0 16 ipsec-isakmp 
set peer 150.150.150.1
set transform-set 160cisco

!--- Include the 180.180.180.x to 160.160.160.x network !--- in the encryption process. 

match address 160
crypto map ETH0 17 ipsec-isakmp 
set peer 150.150.150.2
set transform-set 170cisco 

!--- Include the 180.180.180.x to 170.170.170.x network !--- in the encryption process.
 
match address 170
!
interface Ethernet0
ip address 150.150.150.3 255.255.255.0
no ip directed-broadcast
no ip route-cache
no ip mroute-cache
no mop enabled
crypto map ETH0
!
interface Serial0
no ip address
no ip directed-broadcast
no ip mroute-cache
no fair-queue
clockrate 4000000
!
interface Serial1
ip address 180.180.180.1 255.255.255.0
no ip directed-broadcast
clockrate 4000000
!
interface BRI0
no ip address
no ip directed-broadcast
shutdown
isdn switch-type basic-5ess
!
ip classless
ip route 160.160.160.0 255.255.255.0 150.150.150.1
ip route 170.170.170.0 255.255.255.0 150.150.150.2
no ip http server
!

!--- Include the 180.180.180.x to 160.160.160.x network !--- in the encryption process. 

access-list 160 permit ip 180.180.180.0 0.0.0.255 160.160.160.0 0.0.0.255

!--- Include the 180.180.180.x to 170.170.170.x network !--- in the encryption process. 

access-list 170 permit ip 180.180.180.0 0.0.0.255 170.170.170.0 0.0.0.255
dialer-list 1 protocol ip permit
dialer-list 1 protocol ipx permit
!
line con 0
transport input none
line aux 0
line vty 0 4
password ww
login
!
end

確認

ここでは、設定が正しく機能していることを確認するために使用する情報を示します。

一部の show コマンドはアウトプットインタープリタツールによってサポートされています（登録ユーザ専用）。このツールを使用することによって、show コマンド出力の分析結果を表示できます。

show crypto ipsec sa：現在の IPSec セキュリティアソシエーションで使用されている設定を表示します。
show crypto isakmp sa：ピアにおける現在の IKE セキュリティアソシエーションをすべて表示します。

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

トラブルシューティングのためのコマンド

注：debugコマンドを発行する前に、『debugコマンドの重要な情報』を参照してください。

debug crypto ipsec：フェーズ 2 の IPsec ネゴシエーションを表示します。
debug crypto isakmp - フェーズ 1 の Internet Security Association and Key Management Protocol（ISAKMP）ネゴシエーションを表示します。
debug crypto engine - 暗号化されたトラフィックを表示します。
clear crypto isakmp：フェーズ 1 に関連したセキュリティアソシエーションをクリアします。
clear crypto sa：フェーズ 2 に関連したセキュリティアソシエーションをクリアします。

IPSec ルータ間のフルメッシュの設定

ダウンロードオプション

偏向のない言語

翻訳について

内容

概要

前提条件

要件

使用するコンポーネント

表記法

設定

ネットワーク図

設定

確認

トラブルシュート

トラブルシューティングのためのコマンド

関連情報

更新履歴

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

IPSec ルータ間の フルメッシュの設定

ダウンロード オプション

偏向のない言語

翻訳について

内容

更新履歴

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

IPSec ルータ間のフルメッシュの設定

ダウンロードオプション