PIX/ASA（バージョン 7.x 以降）ネットワークアドレス変換を使用した IPSec VPN トンネルの設定例

ダウンロードオプション

PDF (834.0 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (692.3 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (1.5 MB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2008 年 9 月 26 日

Document ID:63881

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

はじめに

前提条件

要件

使用するコンポーネント

表記法

はじめに

この設定例では、ネットワークアドレス変換（NAT）を実行するファイアウォール経由の IPSec VPN トンネルを示します。Cisco IOS® ソフトウェアの 12.2(13)T より前のリリースを使用している場合、この設定はポートアドレス変換（PAT）では動作しません。この種の設定は、IP トラフィックのトンネル伝送に使用できます。IPX やルーティングアップデートなど、ファイアウォールを経由しないトラフィックの暗号化には、この設定は使用できません。総称ルーティングカプセル化（GRE）トンネリングの方が適しています。この例で、Cisco 2621 ルータおよび 3660 ルータは 2 つのプライベートネットワークを結合する IPsec トンネルエンドポイントで、中間の PIX に IPsec トラフィックを許可するためのコンジットまたはアクセスコントロールリスト（ACL）があります。

注：NATは1対1のアドレス変換であり、PATと混同しないでください。PATは、多数（ファイアウォール内）の1対1の変換です。NAT の動作と設定についての詳細は、『NAT オペレーションの検証と NAT の基本的なトラブルシューティング』または『NAT の動作』を参照してください。

注：外部トンネルエンドポイントデバイスは1つのIPアドレスからの複数のトンネルを処理できないため、PATを使用したIPsecが正しく動作しない可能性があります。トンネルのエンドポイントデバイスが PAT で動作するかどうかを判断するには、ベンダーにお問い合わせください。また、Cisco IOS ソフトウェアリリース 12.2(13)T 以降では、PAT に対して NAT 透過機能を使用できます。詳細については、『IPSec NAT 透過』を参照してください。Cisco IOS ソフトウェアリリース 12.2(13)T 以降のこれらの機能についての詳細は、『NAT を使用した IPSec ESP のサポート』を参照してください。

注：Ciscoテクニカルサポートでサービスリクエストをオープンする前に、『NATに関するFAQ』を参照してください。よくある質問に対する多くの回答があります。

PIX バージョン 6.x 以前の NAT を使用したファイアウォール経由の IPsec トンネルを設定する方法の詳細については、『NAT を使用したファイアウォール経由の IPSec トンネルの設定』を参照してください。

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

Cisco IOS ソフトウェアリリース 12.0.7 T（Cisco IOS ソフトウェアリリース 12.2(13)T より前）

最新のバージョンについては、『IPSec NAT 透過』を参照してください。
Cisco 2621 ルータ
Cisco 3660 ルータ
7.x 以降が稼働する Cisco PIX 500 シリーズセキュリティアプライアンス

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細については、『シスコテクニカルティップスの表記法』を参照してください。

設定

このセクションでは、このドキュメントで説明している機能の設定に使用するための情報を説明します。

注：このドキュメントで使用されているコマンドの詳細を調べるには、Command Lookup Tool(登録ユーザ専用)を使用してください。

ネットワーク図

このドキュメントでは、次のネットワークセットアップを使用します。

コンフィギュレーション

このドキュメントでは、次のコンフィギュレーションを使用します。

Cisco 2621 の設定
Cisco 3660 の設定
PIX セキュリティアプライアンスとアクセスリストの設定
- Advanced Security Device Manager GUI（ASDM）の設定
- コマンドラインインターフェイス（CLI）の設定
PIX セキュリティアプライアンスおよび MPF（モジュラポリシーフレームワーク）の設定

Cisco 2621
Current configuration: ! version 12.0 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname goss-2621 ! ip subnet-zero ! ip audit notify log ip audit po max-events 100 isdn voice-call-failure 0 cns event-service server ! !--- The IKE policy. crypto isakmp policy 10 hash md5 authentication pre-share crypto isakmp key cisco123 address 99.99.99.2 ! crypto ipsec transform-set myset esp-des esp-md5-hmac ! crypto map mymap local-address FastEthernet0/1 !--- IPsec policy. crypto map mymap 10 ipsec-isakmp set peer 99.99.99.2 set transform-set myset !--- Include the private-network-to-private-network traffic !--- in the encryption process. match address 101 ! controller T1 1/0 ! interface FastEthernet0/0 ip address 10.2.2.1 255.255.255.0 no ip directed-broadcast duplex auto speed auto ! interface FastEthernet0/1 ip address 10.1.1.2 255.255.255.0 no ip directed-broadcast duplex auto speed auto !--- Apply to the interface. crypto map mymap ! ip classless ip route 0.0.0.0 0.0.0.0 10.1.1.1 no ip http server !--- Include the private-network-to-private-network traffic !--- in the encryption process. access-list 101 permit ip 10.2.2.0 0.0.0.255 10.3.3.0 0.0.0.255 line con 0 transport input none line aux 0 line vty 0 4 ! no scheduler allocate end

Cisco 2621

Current configuration:
 !
 version 12.0
 service timestamps debug uptime
 service timestamps log uptime
 no service password-encryption
 !
 hostname goss-2621
 !
 ip subnet-zero
 !
 ip audit notify log
 ip audit po max-events 100
 isdn voice-call-failure 0
 cns event-service server
 !

!--- The IKE policy.

 crypto isakmp policy 10
  hash md5
  authentication pre-share
 crypto isakmp key cisco123 address 99.99.99.2     
 !
 crypto ipsec transform-set myset esp-des esp-md5-hmac 
 !
 crypto map mymap local-address FastEthernet0/1
 

!--- IPsec policy.

 
 crypto map mymap 10 ipsec-isakmp   
  set peer 99.99.99.2
  set transform-set myset
 
 
!--- Include the private-network-to-private-network traffic !--- in the encryption process.
 
 
  match address 101
 !
 controller T1 1/0
 !
 interface FastEthernet0/0
  ip address 10.2.2.1 255.255.255.0
  no ip directed-broadcast
  duplex auto
  speed auto
 !
 interface FastEthernet0/1
  ip address 10.1.1.2 255.255.255.0
  no ip directed-broadcast
  duplex auto
  speed auto
 

!--- Apply to the interface.

 
  crypto map mymap
 !
 ip classless
 ip route 0.0.0.0 0.0.0.0 10.1.1.1
 no ip http server
 
 
!--- Include the private-network-to-private-network traffic !--- in the encryption process.

 
 access-list 101 permit ip 10.2.2.0 0.0.0.255 10.3.3.0 0.0.0.255
 line con 0
  transport input none
 line aux 0
 line vty 0 4
 !
 no scheduler allocate
 end

Cisco 3660
version 12.0 service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname goss-3660 ! ip subnet-zero ! cns event-service server ! !--- The IKE policy. crypto isakmp policy 10 hash md5 authentication pre-share crypto isakmp key cisco123 address 99.99.99.12 ! crypto ipsec transform-set myset esp-des esp-md5-hmac ! crypto map mymap local-address FastEthernet0/0 !--- The IPsec policy. crypto map mymap 10 ipsec-isakmp set peer 99.99.99.12 set transform-set myset !--- Include the private-network-to-private-network traffic !--- in the encryption process. match address 101 ! interface FastEthernet0/0 ip address 99.99.99.2 255.255.255.0 no ip directed-broadcast ip nat outside duplex auto speed auto !--- Apply to the interface. crypto map mymap ! interface FastEthernet0/1 ip address 10.3.3.1 255.255.255.0 no ip directed-broadcast ip nat inside duplex auto speed auto ! interface Ethernet3/0 no ip address no ip directed-broadcast shutdown ! interface Serial3/0 no ip address no ip directed-broadcast no ip mroute-cache shutdown ! interface Ethernet3/1 no ip address no ip directed-broadcast interface Ethernet4/0 no ip address no ip directed-broadcast shutdown ! interface TokenRing4/0 no ip address no ip directed-broadcast shutdown ring-speed 16 ! !--- The pool from which inside hosts translate to !--- the globally unique 99.99.99.0/24 network. ip nat pool OUTSIDE 99.99.99.70 99.99.99.80 netmask 255.255.255.0 !--- Except the private network from the NAT process. ip nat inside source route-map nonat pool OUTSIDE ip classless ip route 0.0.0.0 0.0.0.0 99.99.99.1 no ip http server ! !--- Include the private-network-to-private-network traffic !--- in the encryption process. access-list 101 permit ip 10.3.3.0 0.0.0.255 10.2.2.0 0.0.0.255 access-list 101 deny ip 10.3.3.0 0.0.0.255 any !--- Except the private network from the NAT process. access-list 110 deny ip 10.3.3.0 0.0.0.255 10.2.2.0 0.0.0.255 access-list 110 permit ip 10.3.3.0 0.0.0.255 any route-map nonat permit 10 match ip address 110 ! line con 0 transport input none line aux 0 line vty 0 4 ! end

Cisco 3660

version 12.0
 service timestamps debug uptime
 service timestamps log uptime
 no service password-encryption
 !
 hostname goss-3660
 !
 ip subnet-zero
 !
 cns event-service server
 !
 

!--- The IKE policy.

 
 crypto isakmp policy 10
  hash md5
  authentication pre-share
 crypto isakmp key cisco123 address 99.99.99.12    
 !
 crypto ipsec transform-set myset esp-des esp-md5-hmac 
 !
 crypto map mymap local-address FastEthernet0/0
 

!--- The IPsec policy.

 
 crypto map mymap 10 ipsec-isakmp   
  set peer 99.99.99.12
  set transform-set myset
 
 
!--- Include the private-network-to-private-network traffic !--- in the encryption process. 
 
 
  match address 101
 !
 interface FastEthernet0/0
  ip address 99.99.99.2 255.255.255.0
  no ip directed-broadcast
  ip nat outside
  duplex auto
  speed auto
 

!--- Apply to the interface.

 
  crypto map mymap
 !
 interface FastEthernet0/1
  ip address 10.3.3.1 255.255.255.0
  no ip directed-broadcast
  ip nat inside
  duplex auto
  speed auto
 !
 interface Ethernet3/0
  no ip address
  no ip directed-broadcast
  shutdown
 !
 interface Serial3/0
  no ip address
  no ip directed-broadcast
  no ip mroute-cache
  shutdown
 !
 interface Ethernet3/1
  no ip address
  no ip directed-broadcast
 interface Ethernet4/0
  no ip address
  no ip directed-broadcast
  shutdown
 !
 interface TokenRing4/0
  no ip address
  no ip directed-broadcast
  shutdown
  ring-speed 16
 !
 
 
!--- The pool from which inside hosts translate to !--- the globally unique 99.99.99.0/24 network.

 
 ip nat pool OUTSIDE 99.99.99.70 99.99.99.80 netmask 255.255.255.0
 

!--- Except the private network from the NAT process.

 
 ip nat inside source route-map nonat pool OUTSIDE
 ip classless
 ip route 0.0.0.0 0.0.0.0 99.99.99.1
 no ip http server
 !
 
 
!--- Include the private-network-to-private-network traffic !--- in the encryption process. 

 
 access-list 101 permit ip 10.3.3.0 0.0.0.255 10.2.2.0 0.0.0.255
 access-list 101 deny   ip 10.3.3.0 0.0.0.255 any
 

!--- Except the private network from the NAT process.

 
 access-list 110 deny   ip 10.3.3.0 0.0.0.255 10.2.2.0 0.0.0.255
 access-list 110 permit ip 10.3.3.0 0.0.0.255 any
 route-map nonat permit 10
  match ip address 110
 !
 line con 0
  transport input none
 line aux 0
 line vty 0 4
 !
 end

PIX セキュリティアプライアンスとアクセスリストの設定

ASDM 5.0 の設定

ASDM を使用して PIX Firewall バージョン 7.0 を設定するには、次の手順を実行します。

PIX にコンソール接続します。クリアな設定から、インタラクティブなプロンプトを使用して、Workstation 10.1.1.3 から Advanced Security Device Manager GUI（ASDM）で PIX を管理できるようにします。

PIX Firewall ASDM のブートストラップ
Pre-configure Firewall now through interactive prompts [yes]? yes Firewall Mode [Routed]: Enable password [<use current password>]: cisco Allow password recovery [yes]? Clock (UTC): Year [2005]: Month [Mar]: Day [15]: Time [05:40:35]: 14:45:00 Inside IP address: 10.1.1.1 Inside network mask: 255.255.255.0 Host name: pix-firewall Domain name: cisco.com IP address of host running Device Manager: 10.1.1.3 The following configuration will be used: Enable password: cisco Allow password recovery: yes Clock (UTC): 14:45:00 Mar 15 2005 Firewall Mode: Routed Inside IP address: 10.1.1.1 Inside network mask: 255.255.255.0 Host name: OZ-PIX Domain name: cisco.com IP address of host running Device Manager: 10.1.1.3 Use this configuration and write to flash? yes INFO: Security level for "inside" set to 100 by default. Cryptochecksum: a0bff9bb aa3d815f c9fd269a 3f67fef5 965 bytes copied in 0.880 secs

PIX Firewall ASDM のブートストラップ

Pre-configure Firewall now through interactive prompts [yes]? yes
Firewall Mode [Routed]: 
Enable password [<use current password>]: cisco
Allow password recovery [yes]? 
Clock (UTC):
  Year [2005]: 
  Month [Mar]: 
  Day [15]: 
  Time [05:40:35]: 14:45:00
Inside IP address: 10.1.1.1
Inside network mask: 255.255.255.0
Host name: pix-firewall
Domain name: cisco.com
IP address of host running Device Manager: 10.1.1.3
The following configuration will be used:
         Enable password: cisco
         Allow password recovery: yes
         Clock (UTC): 14:45:00 Mar 15 2005
         Firewall Mode: Routed
         Inside IP address: 10.1.1.1
         Inside network mask: 255.255.255.0
         Host name: OZ-PIX
         Domain name: cisco.com
         IP address of host running Device Manager: 10.1.1.3
Use this configuration and write to flash? yes
         INFO: Security level for "inside" set to 100 by default.
         Cryptochecksum: a0bff9bb aa3d815f c9fd269a 3f67fef5 
965 bytes copied in 0.880 secs

Workstation 10.1.1.3 から、Web ブラウザを開いて、ADSM を使用します（この例では https://10.1.1.1）。
認証のプロンプトで [Yes] を選択し、PIX Firewall ASDM のブートストラップ構成で設定されているイネーブルパスワードでログインします。
PC 上で初めて ASDM を実行する場合は、ASDM Launcher を使用するのか、それとも Java App として ASDM を使用するのかを尋ねるプロンプトが出ます。

この例では、ASDM Launcher が選択され、インストールされます。
[ASDM Home] ウィンドウに移動して、[Configuration] タブを選択します。
イーサネット 0 インターフェイスを強調表示し、[Edit] をクリックして外部インターフェイスを設定します。
インターフェイス編集のプロンプトで、[OK] をクリックします。
インターフェイスの詳細を入力し、完了したら [OK] をクリックします。
インターフェイス変更のプロンプトで、[OK] をクリックします。
[Apply] をクリックして、インターフェイス設定を承認します。設定内容は PIX にもプッシュされます。この例ではスタティックルートを使用します。
[Features] タブの下で [Routing] をクリックし、[Static Route] を強調表示し、[Add] をクリックします。
デフォルトゲートウェイを設定し、[OK] をクリックします。
[Add] をクリックして、内部ネットワークにルートを追加します。
正しいルートが設定されていることを確認して、[Apply] をクリックします。
この例では、NAT を使用します。[Enable traffic through the firewall without address translation] ボックスをオフにし、[Add] をクリックして NAT ルールを設定します。
送信元ネットワーク（この例のみで使用）を設定します。次に、PAT を定義するため、[Manage Pools] をクリックします。
[outside interface] を選択し、[Add] をクリックします。

この例では、インターフェイスの IP アドレスを使用する PAT を使用します。
PAT が設定されたら、[OK] をクリックします。
スタティック変換を設定するため、[Add] をクリックします。
[Interface] ドロップダウンで [inside] を選択した後、IP アドレス 10.1.1.2 とサブネットマスク 255.255.255.255 を入力してから、[Static] を選択し、[IP Address] フィールドに外部アドレス 99.99.99.12 を入力します。完了したら、[OK] をクリックします。
[Apply] をクリックして、インターフェイスの設定を承認します。設定内容は PIX にもプッシュされます。
[Features] タブの [Security Policy] を選択して、セキュリティポリシールールを設定します。
[Add] をクリックして esp トラフィックを許可し、[OK] をクリックして続行します。
ISAKMP トラフィックを許可するため、[Add] をクリックした後、[OK] をクリックして続行します。
[Add] をクリックして NAT-T のための UDP ポート 4500 トラフィックを許可し、[OK] をクリックして続行します。
[Apply] をクリックして、インターフェイス設定を承認します。設定内容は PIX にもプッシュされます。
設定はこれで完了しました。

[File] > [Show Running Configuration in New Windows] の順に選択し、CLI 設定を確認します。

PIX Firewall の設定

PIX ファイアウォール
pixfirewall# show run : Saved : PIX Version 7.0(0)102 names ! interface Ethernet0 nameif outside security-level 0 ip address 99.99.99.1 255.255.255.0 ! interface Ethernet1 nameif inside security-level 100 ip address 10.1.1.1 255.255.255.0 ! enable password 2KFQnbNIdI.2KYOU encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname pixfirewall domain-name cisco.com ftp mode passive access-list outside_access_in remark Access Rule to Allow ESP traffic access-list outside_access_in extended permit esp host 99.99.99.2 host 99.99.99.12 access-list outside_access_in remark Access Rule to allow ISAKMP to host 99.99.99.12 access-list outside_access_in extended permit udp host 99.99.99.2 eq isakmp host 99.99.99.12 access-list outside_access_in remark Access Rule to allow port 4500 (NAT-T) to host 99.99.99.12 access-list outside_access_in extended permit udp host 99.99.99.2 eq 4500 host 99.99.99.12 pager lines 24 mtu inside 1500 mtu outside 1500 no failover monitor-interface inside monitor-interface outside asdm image flash:/asdmfile.50073 no asdm history enable arp timeout 14400 nat-control global (outside) 1 interface nat (inside) 0 0.0.0.0 0.0.0.0 static (inside,outside) 99.99.99.12 10.1.1.2 netmask 255.255.255.255 access-group outside_access_in in interface outside route inside 10.2.2.0 255.255.255.0 10.1.1.2 1 route outside 0.0.0.0 0.0.0.0 99.99.99.2 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout uauth 0:05:00 absolute http server enable http 10.1.1.3 255.255.255.255 inside no snmp-server location no snmp-server contact snmp-server enable traps snmp telnet timeout 5 ssh timeout 5 console timeout 0 ! class-map inspection_default match default-inspection-traffic ! ! policy-map asa_global_fw_policy class inspection_default inspect dns maximum-length 512 inspect ftp inspect h323 h225 inspect h323 ras inspect netbios inspect rsh inspect rtsp inspect skinny inspect esmtp inspect sqlnet inspect sunrpc inspect tftp inspect sip inspect xdmcp ! service-policy asa_global_fw_policy global Cryptochecksum:0a12956036ce4e7a97f351cde61fba7e : end

PIX ファイアウォール

pixfirewall# show run
: Saved
:
PIX Version 7.0(0)102 
names
!
interface Ethernet0
 nameif outside
 security-level 0
 ip address 99.99.99.1 255.255.255.0 
!
interface Ethernet1
 nameif inside
 security-level 100
 ip address 10.1.1.1 255.255.255.0 
!
enable password 2KFQnbNIdI.2KYOU encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
domain-name cisco.com
ftp mode passive

access-list outside_access_in remark Access Rule to Allow ESP traffic
access-list outside_access_in 
            extended permit esp host 99.99.99.2 host 99.99.99.12 

access-list outside_access_in 
            remark Access Rule to allow ISAKMP to host 99.99.99.12
access-list outside_access_in 
            extended permit udp host 99.99.99.2 eq isakmp host 99.99.99.12 


access-list outside_access_in 
            remark Access Rule to allow port 4500 (NAT-T) to host 99.99.99.12
access-list outside_access_in 
                    extended permit udp host 99.99.99.2 eq 4500 host 99.99.99.12
pager lines 24
mtu inside 1500
mtu outside 1500
no failover
monitor-interface inside
monitor-interface outside
asdm image flash:/asdmfile.50073
no asdm history enable
arp timeout 14400
nat-control
global (outside) 1 interface
nat (inside) 0 0.0.0.0 0.0.0.0
static (inside,outside) 99.99.99.12 10.1.1.2 netmask 255.255.255.255 
access-group outside_access_in in interface outside
route inside 10.2.2.0 255.255.255.0 10.1.1.2 1
route outside 0.0.0.0 0.0.0.0 99.99.99.2 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 
sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 
0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
http server enable
http 10.1.1.3 255.255.255.255 inside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp
telnet timeout 5
ssh timeout 5
console timeout 0
!
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map asa_global_fw_policy
 class inspection_default
  inspect dns maximum-length 512 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect netbios 
  inspect rsh 
  inspect rtsp 
  inspect skinny 
  inspect esmtp 
  inspect sqlnet 
  inspect sunrpc 
  inspect tftp 
  inspect sip 
  inspect xdmcp 
!
service-policy asa_global_fw_policy global
Cryptochecksum:0a12956036ce4e7a97f351cde61fba7e
: end

PIX セキュリティアプライアンスおよび MPF（モジュラポリシーフレームワーク）の設定

アクセスリストの代わりに、MPF（モジュラポリシーフレームワーク）でコマンド inspect ipsec-pass-thru を使用し、PIX/ASA セキュリティアプライアンス経由で IPsec トラフィックを渡します。

この検査は ESP トラフィックのピンホールを開くように設定されています。転送フローが存在していて、かつ許容できる最大接続数に制限がない場合、ESP データフローのすべてが許可されます。AH は許可されません。ESP データフローのデフォルトアイドルタイムアウトは、デフォルトで 10 分に設定されています。この検査は、クラスおよび一致コマンドモードを含め、他の検査を適用できるすべての場所に適用可能です。IPSec パススルーアプリケーションインスペクションは、IKE UDP ポート 500 接続に関連付けられた ESP（IP プロトコル 50）トラフィックを簡単に横断できます。このインスペクションは、冗長なアクセスリストコンフィギュレーションを回避して ESP トラフィックを許可し、タイムアウトと最大接続数によりセキュリティも確保します。class-map、policy-map、および service-policy の各コマンドを使用してトラフィックのクラスを定義し、inspect コマンドをクラスに適用して、ポリシーを 1 つまたは複数のインターフェイスに適用します。有効にした場合、inspect IPSec-pass-thru コマンドでは、タイムアウト 10 分の無制限 ESP トラフィックが可能になります。これは設定不可能です。NAT および非 NAT トラフィックは許可されます。

hostname(config)#access-list test-udp-acl extended permit udp any any eq 500
hostname(config)#class-map test-udp-class
hostname(config-cmap)#match access-list test-udp-acl
hostname(config)#policy-map test-udp-policy
hostname(config-pmap)#class test-udp-class
hostname(config-pmap-c)#inspect ipsec-pass-thru
hostname(config)#service-policy test-udp-policy interface outside

確認

このセクションでは、設定が正常に動作しているかどうかを確認する際に役立つ情報を示しています。

特定の show コマンドは、Output Interpreter Tool（登録ユーザ専用）によってサポートされています。このツールを使用すると、show コマンド出力の分析を表示できます。

show crypto ipsec sa：フェーズ 2 のセキュリティアソシエーションを表示します。
show crypto isakmp sa：フェーズ 1 のセキュリティアソシエーションを表示します。
show crypto engine connections active - 暗号化パケットおよび復号化パケットを表示します。

トラブルシュート

このセクションでは、設定のトラブルシューティングに役立つ情報を紹介します。

ルータ IPsec のトラブルシューティングコマンド

注：debugコマンドを使用する前に、『debugコマンドの重要な情報』を参照してください。

debug crypto engine - 暗号化されたトラフィックを表示します。
debug crypto ipsec：フェーズ 2 の IPSec ネゴシエーションを表示します。
debug crypto isakmp - フェーズ 1 の Internet Security Association and Key Management Protocol（ISAKMP）ネゴシエーションを表示します。

セキュリティアソシエーションのクリア

clear crypto isakmp - インターネットキー交換（IKE）のセキュリティアソシエーションをクリアします。
clear crypto ipsec sa - IPSec のセキュリティアソシエーションをクリアします。

PIX のトラブルシューティングコマンド

注：debugコマンドを使用する前に、『debugコマンドの重要な情報』を参照してください。

logging buffer debugging：PIX を通過する、ホストへの確立された接続と拒否された接続を表示します。この情報は PIX ログバッファに保存されており、show log コマンドを使用して表示できます。
ASDM を使用してロギングを有効にし、以下の手順で示されているようにログを表示できます。

[Configuration] > [Properties] > [Logging] > [Logging Setup] > [Enable Logging] を選択した後、[Apply] をクリックします。
[Monitoring] > [Logging] > [Log Buffer] > [On Logging Level] > [Logging Buffer] を選択してから、[View] をクリックします。

ログバッファの例を次に示します。

PIX/ASA（バージョン 7.x 以降）ネットワークアドレス変換を使用した IPSec VPN トンネルの設定例

ダウンロードオプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

表記法

関連製品

設定

ネットワーク図

コンフィギュレーション

PIX セキュリティアプライアンスとアクセスリストの設定

ASDM 5.0 の設定

PIX Firewall の設定

PIX セキュリティアプライアンスおよび MPF（モジュラポリシーフレームワーク）の設定

確認

トラブルシュート

ルータ IPsec のトラブルシューティングコマンド

セキュリティアソシエーションのクリア

PIX のトラブルシューティングコマンド

関連情報

更新履歴

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

PIX/ASA（バージョン 7.x 以降）ネットワーク アドレス変換を使用した IPSec VPN トンネルの設定例

ダウンロード オプション

偏向のない言語

翻訳について

内容

更新履歴

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

PIX/ASA（バージョン 7.x 以降）ネットワークアドレス変換を使用した IPSec VPN トンネルの設定例

ダウンロードオプション