GGSN での PPP サポートの設定
Gateway GPRS Support Node(GGSN; ゲートウェイ GPRS サポート ノード)では、Point to Point Protocol(PPP; ポイントツーポイント プロトコル)を使用した 3 種類の GPRS Tunneling Protocol(GTP; GPRS トンネリング プロトコル)がサポートされています。GGSN での PPP サポートのタイプは、ネットワーク内の PPP エンドポイントの場所、Layer 2 Tunneling Protocol(L2TP; レイヤ 2 トンネリング プロトコル)が使用されるかどうか、および IP パケット サービスが行われる場所によって異なります。この章では、GGSN でのさまざまな PPP サポート方式、およびこれらの方式の設定方法について説明します。
この章に記載されている GGSN コマンドの詳細については、使用している Cisco GGSN リリースの『 Cisco GGSN Command Reference 』を参照してください。この章に記載されているその他のコマンドのマニュアルを参照するには、コマンド リファレンスのマスター インデックスを使用するか、またはオンラインで検索してください。
この章は、次の内容で構成されています。
• 「GGSN での PPP サポートの概要」
• 「GGSN での GTP-PPP ターミネーションの設定」
• 「GGSN での L2TP を使用した GTP-PPP の設定」
• 「GGSN での GTP-PPP 再生成の設定」
• 「GGSN での PPP のモニタリングおよびメンテナンス」
• 「設定例」
GGSN での PPP サポートの概要
GGSN リリース 3.0 よりも前のリリースの場合、GGSN では、Terminal Equipment(TE; 端末装置)と Mobile Termination(MT; モバイル ターミネーション)間の IP over PPP のトポロジがサポートされていました。MT から Serving GPRS Support Node(SGSN; サービング GPRS サポート ノード)を経由し、Gn インターフェイスおよび GTP トンネルを介して GGSN に到達するまで、および Gi インターフェイスを介して企業ネットワークに到達するまでの間では、IP パケット サービスとルーティングだけがサポートされていました。GTP トンネル上、または GGSN と企業ネットワークとの間では、PPP トラフィック フローはサポートされていませんでした。
図 9-1 に、GPRS ネットワーク内で PPP がサポートされていない場合の IP over GTP の実装を示します。
図 9-1 GGSN で PPP がサポートされていない場合の IP over GTP トポロジ
GSM 04.08 バージョン 7.4.0 および GSM 09.60 バージョン 7.0.0 で、GSM 規格に PPP Packet Data Protocol(PDP; パケット データ プロトコル)タイプが追加されました。PPP は、フレーム リレー、ATM、X.25 などのネットワークを含む、さまざまな WAN 環境で幅広く使用されているレイヤ 2 プロトコルです。
PPP では、Password Authentication Protocol(PAP; パスワード認証プロトコル)および Challenge Handshake Authentication Protocol(CHAP; チャレンジ ハンドシェーク認証プロトコル)によるセキュリティ チェックが提供されており、IP アドレスのネゴシエーションに IP Control Protocol(IPCP; IP コントロール プロトコル)サブレイヤが使用されます。General Packet Radio Service(GPRS; グローバル パケット ラジオ サービス)/Universal Mobile Telecommunication System(UMTS)ネットワーク内での PPP サポートで最も重要な特性は、L2TP を使用した Virtual Private Data Network(VPDN; バーチャル プライベート データ ネットワーク)による PPP のトンネリング機能です。トンネリングによって、公衆網を経由して PPP セッションをプライベート企業ネットワークに転送でき、セキュリティを確保できます。企業ネットワークの境界では、認証およびダイナミック IP アドレス割り当てを実行できます。
Cisco GGSN では、次の 3 つの PPP サポート方式が GGSN で提供されています。
• GTP-PPP
• L2TP を使用した GTP-PPP
• GTP-PPP 再生成
(注) GTP-PPP および GTP-PPP 再生成方式の IPv6 PDP コンテキストはサポートされていません。
(注) 最適な条件の下でいずれかの PPP 方式が設定された場合、GGSN は 8000 の PDP コンテキストをサポートします。ただし、この数は、プラットフォーム、インストールされているメモリ量、設定された PPP サポート方式、設定された PDP コンテキスト作成レートなどによる影響を受けます。
この章の次の項では、それぞれの方式についてより詳細に説明し、GGSN でのそれぞれのタイプの PPP サポートの設定方法および検証方法について説明します。
GGSN での GTP-PPP ターミネーションの設定
この項では、GGSN での PPP over GTP の概要および設定方法について説明します。内容は次のとおりです。
• 「GGSN での GTP-PPP ターミネーションの概要」
• 「GGSN での PPP over GTP の設定の準備」
• 「GTP-PPP ターミネーション設定の作業リスト」
• 「GGSN での GTP-PPP ターミネーションの設定例」
GGSN での GTP-PPP ターミネーションの概要
GGSN では、L2TP を使用しない GTP 上の PPP PDP タイプがサポートされています。このトポロジでは、GGSN によって、端末装置(TE)およびモバイル ターミネーション(MT)または Mobile Station(MS; モバイル ステーション)から、SGSN を経由し、Gn インターフェイスおよび GTP トンネルを介して GGSN に到達するまでの間の PPP サポートが提供されます。PPP エンドポイントは、端末装置(TE)および GGSN になります。IP ルーティングは、Gi インターフェイスを介して GGSN から企業ネットワークに対して行われます。
図 9-2 に、GPRS ネットワーク内の、L2TP を使用しない PPP over GTP のサポートの実装を示します。
図 9-2 GGSN で PPP ターミネーションが行われる、PPP over GTP トポロジ
利点
GGSN での PPP over GTP のサポートには、次の利点があります。
• GTP 上で、さまざまなトラフィック タイプをサポートできます。
• PPP エンドポイントで PPP オプションの正式なネゴシエーションを実行できます(プロキシ PPP ネゴシエーションは必要ありません)。
• GTP と、L2TP などの他の PPP ネットワーキング プロトコルとのインターワーキングの土台が提供されます。
• MT インテリジェンスの要件が簡素化され、MT で PPP スタックをサポートする必要がありません。
• 追加のセッション セキュリティが提供されます。
• TE に対してより柔軟に IP アドレスを割り当てることができます。
GGSN での PPP over GTP の設定の準備
GGSN で PPP over GTP のサポートの設定を開始する前に、ユーザに IP アドレスを割り当てるために GGSN で使用する方法を決定する必要があります。サポートする IP アドレス割り当て方法によって、設定に特定の依存関係が生じます。
ネットワークで使用されている IP アドレス割り当てのタイプをサポートするには、次の設定ガイドラインが満たされていることを確認してください。
• RADIUS IP アドレス割り当て
– 完全な username@domain フォーマットを使用して、RADIUS サーバにユーザを設定します。
– PPP 仮想テンプレート インターフェイスで、 no peer default ip address コマンドを指定します。
– GGSN での RADIUS サービスの設定の詳細については、このマニュアルの 「GGSN でのセキュリティの設定」 を参照してください。
• DHCP IP アドレス割り当て
– ループバック インターフェイスと同じサブネットに対して、割り当て対象のアドレスの範囲を設定してください。
– RADIUS サーバのユーザ用の IP アドレスを設定しないでください。
– PPP 仮想テンプレート インターフェイスで、 peer default ip address dhcp コマンドを指定します。
– GGSN で、 aaa authorization network method_list none コマンドを指定します。
– GGSN での DHCP サービスの設定の詳細については、このマニュアルの 「GGSN でのダイナミック アドレッシングの設定」 を参照してください。
• ローカル プール IP アドレス割り当て
– ip local pool コマンドを使用してローカル プールを設定してください。
– GGSN で、 aaa authorization network method_list none コマンドを指定します。
– peer default ip address pool pool-name コマンドを指定します。
ループバック インターフェイスの設定
仮想テンプレート インターフェイスには番号を付けず、その IP 番号をループバック インターフェイスに関連付けることを推奨します。
ループバック インターフェイスは、常に稼動しているインターフェイスをエミュレートするソフトウェア専用インターフェイスであり、すべてのプラットフォームでサポートされている仮想インターフェイスです。interface-number は、作成または設定を行うループバック インターフェイスの番号です。作成できるループバック インターフェイスの数に制限はありません。GGSN では、いくつかの異なる機能の設定をサポートするために、ループバック インターフェイスが使用されます。
GGSN でループバック インターフェイスを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# interface loopback interface- number |
GGSN でループバック インターフェイスを定義します。 interface-number によって、ループバック インターフェイスが識別されます。 |
ステップ 2 |
Router(config-if)# ip address ip-address mask [ secondary ] |
インターフェイスの IP アドレスを指定します。 • ip-address :インターフェイスの IP アドレスをドット付き 10 進表記で指定します。 • mask :サブネット マスクをドット付き 10 進表記で指定します。 • secondary :セカンダリ IP アドレスとしてアドレスを設定することを指定します。このキーワードを省略すると、設定したアドレスがプライマリ IP アドレスになります。 |
PPP 仮想テンプレート インターフェイスの設定
PPP over GTP をサポートするには、PPP カプセル化をサポートする仮想テンプレート インターフェイスを GGSN で設定する必要があります。したがって、GGSN は、GTP カプセル化に 1 つ、PPP カプセル化に 1 つの合計 2 つの仮想テンプレート インターフェイスを持つことになります。GGSN では、GGSN での PPP セッションのすべての PPP 仮想アクセス インターフェイスを作成するために、PPP 仮想テンプレート インターフェイスが使用されます。
仮想テンプレート インターフェイスには番号を付けず、その IP 番号をループバック インターフェイスに関連付けることを推奨します。
PPP カプセル化はデフォルトであるため、インターフェイスに対する show running-config の出力には表示されません。
GGSN で PPP 仮想テンプレート インターフェイスを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# interface virtual-template number |
仮想テンプレート インターフェイスを作成します。 number によって、仮想テンプレート インターフェイスが識別されます。このコマンドによって、インターフェイス コンフィギュレーション モードが開始されます。 と同じである必要があります。 |
ステップ 2 |
Router(config-if)# ip unnumbered type number |
インターフェイスに IP アドレスを明示的に割り当てずに、仮想テンプレート インターフェイスで IP 処理をイネーブルにします。 type および number では、ルータに IP アドレスが割り当てられている他のインターフェイスを指定します。 GGSN では、Gi インターフェイスまたはループバック インターフェイスを指定できます。ループバック インターフェイスを使用することを推奨します。 |
ステップ 3 |
Router(config-if)# no peer default ip address (RADIUS サーバの場合) または Router(config-if)# peer default ip address dhcp (DHCP サーバの場合) または Router(config-if)# peer default ip address pool pool-name (ローカル プールの場合) |
以前に設定したピア IP アドレス プーリング設定をインターフェイスに指定します。 IP アドレス割り当てに RADIUS サーバを使用している場合は、ピア IP アドレス プーリングをディセーブルにする必要があります。 |
ステップ 4 |
Router(config-if)# encapsulation ppp |
(任意)仮想テンプレート インターフェイス経由で送信されるパケットのカプセル化タイプとして PPP を指定します。PPP は、デフォルトのカプセル化タイプです。 コマンドの出力には表示されません。 |
ステップ 5 |
Router(config-if)# ppp authentication { pap [ chap ]} [ default ] |
CHAP、PAP、またはその両方をイネーブルにして、インターフェイスで CHAP および PAP 認証が選択される順序を指定します。それぞれの意味を次に示します。 • pap [ chap ]:インターフェイスで CHAP、PAP、またはその両方をイネーブルにします。 • default : aaa authentication ppp コマンドによって作成された方式のリストの名前です。 |
GGSN での PPP 用の仮想テンプレート インターフェイスの関連付け
PPP 用の仮想テンプレート インターフェイスを関連付ける前に、仮想テンプレート インターフェイスを設定する必要があります。仮想テンプレート インターフェイスに設定する番号は、 gprs gtp ppp vtemplate コマンドで指定する番号と同じである必要があります。
GGSN 用の仮想テンプレート インターフェイスを関連付けるには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
Router(config)# gprs gtp ppp vtemplate number |
PPP 特性を定義した仮想テンプレート インターフェイスを、GGSN での GTP 上の PPP PDP タイプのサポートと関連付けます。 と同じである必要があります。 |
GGSN での L2TP を使用した GTP-PPP の設定
この項では、GGSN での L2TP を使用した PPP over GTP のサポートの概要および設定方法について説明します。内容は次のとおりです。
• 「GGSN での L2TP を使用した GTP-PPP の概要」
• 「L2TP を使用した GTP-PPP の設定の作業リスト」
GGSN での L2TP を使用した GTP-PPP の概要
GGSN では、IP ルーティングは使用せず、L2TP を使用した PPP over GTP がサポートされています。GGSN では、TE および MT から SGSN を経由して、Gn インターフェイスおよび GTP トンネルを介して GGSN に到達するまで、および Gi インターフェイスおよび L2TP トンネルを介して企業ネットワークに到達するまでの間で PPP サポートが提供されています。このシナリオでは、PPP ターミネーション エンドポイントは TE と企業ネットワークの L2TP Network Server(LNS; L2TP ネットワーク サーバ)になります。
L2TP がサポートされている場合、パケットは、L2TP および PPP によってカプセル化された IP ペイロードをルーティングすることによって LNS に配信されます。L2TP がサポートされていない場合は、純粋な IP ペイロードが企業ネットワークの LNS にルーティングされます。
図 9-3 に、GPRS ネットワーク内の、L2TP を使用した PPP over GTP のサポートの実装を示します。
図 9-3 GGSN での L2TP を使用した PPP over GTP トポロジ
利点
GGSN での L2TP を使用した PPP over GTP のサポートには、次の利点があります。
• L2TP トンネルを使用した VPN セキュリティでは、公衆網を経由して企業ネットワークまでユーザ データを安全に配信できます。
• 認証、およびアドレスのネゴシエーションと割り当てを使用した、正式なエンドツーエンドの PPP セッションが使用されます。
• ネットワーク内のサーバへのアクセスは、企業ネットワークで引き続き制御できます。GGSN からこれらのサーバへのアクセスを提供する必要はありません。
• GGSN を更新することなく、企業サーバの設定を変更できます。
制約事項
GGSN での L2TP を使用した PPP over GTP のサポートには、次の制約事項があります。
• ppp authentication インターフェイス コンフィギュレーション コマンドを使用して、少なくとも 1 つの PPP 認証プロトコルをイネーブルにする必要があります。
LAC としての GGSN の設定
企業ネットワークの LNS への L2TP サービスを GGSN で使用する場合は、GGSN で VPDN サービスをイネーブルにすることによって、GGSN を LAC として設定する必要があります。
Cisco IOS ソフトウェアでの VPDN 設定およびコマンドの詳細については、資料『 Cisco IOS Dial Technologies Configuration Guide 』および『 Command Reference 』を参照してください。
GGSN を LAC として設定し、GGSN にトンネル パラメータをローカルに設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# vpdn enable |
ルータまたは Cisco IOS ソフトウェアのインスタンスで VPDN をイネーブルにし、ローカル データベースおよび存在する場合にはリモート認可サーバ(ホーム ゲートウェイ)でトンネル定義を検索するようにルータに指示します。 (注) RADIUS サーバを使用してトンネル パラメータを提供する場合は、このステップだけが必要です。 |
ステップ 2 |
Router(config)# vpdn-group group-number |
VPDN グループを定義して、VPDN グループ コンフィギュレーション モードを開始します。 |
ステップ 3 |
Router(config-vpdn)# request-dialin |
ルータまたは Cisco IOS ソフトウェアのインスタンスでダイヤルイン トンネルの要求をイネーブルにし、ダイヤルイン VPDN サブグループ要求コンフィギュレーション モードを開始します。 |
ステップ 4 |
Router(config-vpdn-req-in)# protocol l2tp |
ダイヤルイン トンネルに L2TP プロトコルを指定します。 |
ステップ 5 |
Router(config-vpdn-req-in)# domain domain-name |
このドメイン名を持つユーザがトンネリングされることを指定します。トンネリングするすべてのドメイン名に対してこのコマンドを設定します。 |
ステップ 6 |
Router(config-vpdn-req-in)# exit |
VPDN グループ コンフィギュレーション モードに戻ります。 |
ステップ 7 |
Router(config-vpdn)# initiate-to ip ip-address [ limit limit-number ] [ priority priority-number ] |
トンネルの宛先 IP アドレスを指定します。 |
ステップ 8 |
Router(config-vpdn)# local name name |
トンネルの認証に使用されるローカル名を指定します。 |
(注) L2TP トンネル パラメータは、GGSN にローカルで設定したり、RADIUS サーバで提供することができます。RADIUS サーバでトンネル パラメータを提供する場合、この手順で必要となるのは、GGSN に対して vpdn enable コマンドを設定することだけです。
L2TP 用の AAA サービスのサポートの設定
GGSN 上の VPDN スタックで LNS への L2TP トンネルが開かれる前に、まずトンネルの認可が試行されます。GGSN では、ローカル データベースに問い合せてこの認可が実行されます。したがって、L2TP トンネルの認可をサポートするためには、GGSN に対して適切な AAA サービスを設定する必要があります。これは、トンネル自体の認可であり、ユーザの認可ではありません。
この項では、GGSN で L2TP の認可のサポートを実装するために必要なコマンドだけを説明します。GGSN での RADIUS および AAA のサポートを設定するために必要なすべての作業について説明するわけではありません。GGSN での AAA サービスのイネーブルおよび AAA サーバ グループの設定の詳細については、このマニュアルの 「GGSN でのセキュリティの設定」 を参照してください。
(注) GGSN で L2TP 用の認証および認可サービスのサポートを正しく実装するには、両方に対して同じ方式およびサーバ グループを設定する必要があります。
GGSN で L2TP の認可のサポートを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# aaa authorization network default local |
(任意)GGSN が、トンネルの認可において、 username コマンドでの定義に従ってローカル データベースに問い合せることを指定します。 |
ステップ 2 |
Router(config)# aaa authorization network {default | list-name} group group-name [ group group-name...] |
PPP を実行するインターフェイスで使用する 1 つ以上の AAA 方式を指定します。それぞれの意味を次に示します。 • network:SLIP1、PPP2、PPP NCPs3、ARA4 など、ネットワーク関連のすべてのサービス リクエストで認可を実行します。 • default:この引数のあとに指定された認証方式を、ユーザがログインするときのデフォルトの方式リストとして使用します。 • list-name:ユーザのログイン時に試行される認証方式のリストを指定するための文字列を指定します。 • group group-name:aaa group server radius コマンドで定義されている RADIUS サーバのサブセットを認証に使用します。 (注) 方式リストを必ず使用してください。aaa authorization network default group radius 形式のコマンドは使用しないでください。L2TP のサポートでは、group-name は aaa authentication ppp コマンドで指定するグループと同じである必要があります。 |
ステップ 3 |
Router(config)# username name password secret |
CHAP 発信者識別で使用するパスワードを指定します。 name はトンネルの名前です。 の形式のユーザ名は、それぞれ 3 つの異なるエントリであると見なされます。 このステップを繰り返して、ローカル ルータまたはアクセス サーバが認証を行う各リモート システムに対してユーザ名エントリを追加します。 |
(注) L2TP トンネル パラメータは、GGSN にローカルで設定したり、RADIUS サーバで提供することができます。RADIUS サーバでトンネル パラメータを提供する場合、この手順で必要となるのは、GGSN に対して username コマンドを設定することだけです。
ループバック インターフェイスの設定
仮想テンプレート インターフェイスには番号を付けず、その IP 番号をループバック インターフェイスに関連付けることを推奨します。
ループバック インターフェイスは、常に稼動しているインターフェイスをエミュレートするソフトウェア専用インターフェイスであり、すべてのプラットフォームでサポートされている仮想インターフェイスです。インターフェイス数は、作成または設定するループバック インターフェイスの数です。作成できるループバック インターフェイスの数に制限はありません。GGSN では、いくつかの異なる機能の設定をサポートするために、ループバック インターフェイスが使用されます。
GGSN でループバック インターフェイスを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# interface loopback interface- number |
GGSN でループバック インターフェイスを定義します。 interface-number によって、ループバック インターフェイスが識別されます。 |
ステップ 2 |
Router(config-if)# ip address ip-address mask [ secondary ] |
インターフェイスの IP アドレスを指定します。 • ip-address :インターフェイスの IP アドレスをドット付き 10 進表記で指定します。 • mask :サブネット マスクをドット付き 10 進表記で指定します。 • secondary :セカンダリ IP アドレスとしてアドレスを設定することを指定します。このキーワードを省略すると、設定したアドレスがプライマリ IP アドレスになります。 |
(注) ループバック インターフェイスの IP アドレスは、L2TP を使用しない PPP PDP でだけ必要です。PPP PDP の宛先が、L2TP が設定されていないドメインである場合は、IP アドレスを使用することを推奨します。
PPP 仮想テンプレート インターフェイスの設定
PPP over GTP をサポートするには、PPP カプセル化をサポートする仮想テンプレート インターフェイスを GGSN で設定する必要があります。したがって、GGSN は、GTP カプセル化に 1 つ、PPP カプセル化に 1 つの合計 2 つの仮想テンプレート インターフェイスを持つことになります。GGSN では、GGSN での PPP セッションのすべての PPP 仮想アクセス インターフェイスを作成するために、PPP 仮想テンプレート インターフェイスが使用されます。
(注) GTP-PPP および GTP-PPP-L2TP の両方をサポートする計画である場合(L2TP を使用する PPP PDP と L2TP を使用しない PPP PDP をサポートする場合)、PPP に同じ仮想テンプレート インターフェイスを使用する必要があります。
仮想テンプレート インターフェイスには番号を付けず、その IP 番号をループバック インターフェイスに関連付けることを推奨します。
PPP はデフォルトのカプセル化タイプであるため、明示的に設定する必要はなく、インターフェイスに対する show running-config の出力には表示されません。
GGSN で PPP 仮想テンプレート インターフェイスを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# interface virtual-template number |
仮想テンプレート インターフェイスを作成します。 number によって、仮想テンプレート インターフェイスが識別されます。このコマンドによって、インターフェイス コンフィギュレーション モードが開始されます。 と同じである必要があります。 |
ステップ 2 |
Router(config-if)# ip unnumbered type number |
インターフェイスに IP アドレスを明示的に割り当てずに、仮想テンプレート インターフェイスで IP 処理をイネーブルにします。 type および number では、ルータに IP アドレスが割り当てられている他のインターフェイスを指定します。 GGSN では、Gi インターフェイスまたはループバック インターフェイスを指定できます。シスコでは、ループバック インターフェイスを使用することを推奨します。 |
ステップ 3 |
Router(config-if)# encapsulation ppp |
仮想テンプレート インターフェイス経由で送信されるパケットのカプセル化タイプとして PPP を指定します。PPP は、デフォルトのカプセル化タイプです。 コマンドの出力には表示されません。 |
ステップ 4 |
Router(config-if)# ppp authentication { protocol1 [ protocol2 ...]} [ if-needed ] [ list-name | default ] [ callin ] [ one-time ] [ optional ] |
少なくとも 1 つの PPP 認証プロトコルをイネーブルにして、インターフェイスでプロトコルが選択される順序を指定します。 |
GGSN での PPP 用の仮想テンプレート インターフェイスの関連付け
PPP 用の仮想テンプレート インターフェイスを関連付ける前に、仮想テンプレート インターフェイスを設定する必要があります。仮想テンプレート インターフェイスに設定する番号は、 gprs gtp ppp vtemplate コマンドで指定する番号と同じである必要があります。
GGSN 用の仮想テンプレート インターフェイスを関連付けるには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
Router(config)# gprs gtp ppp vtemplate number |
PPP 特性を定義した仮想テンプレート インターフェイスを、GGSN での GTP 上の PPP PDP タイプのサポートと関連付けます。 と同じである必要があります。 |
GGSN での GTP-PPP 再生成の設定
この項では、GGSN での L2TP を使用した PPP over GTP のサポートの概要および設定方法について説明します。内容は次のとおりです。
• 「GGSN での GTP-PPP 再生成の概要」
• 「GTP-PPP 再生成設定の作業リスト」
GGSN での GTP-PPP 再生成の概要
GGSN では、ネットワークの 2 つの異なる領域で、PPP エンドポイントの 2 つの異なるセットを使用した PPP がサポートされており、それらの間では IP over GTP がサポートされています。最初に、TE と MT との間では IP over PPP が使用されます。MT から SGSN を経由して、Gn インターフェイスおよび GTP トンネルを介して GGSN に到達するまでの間では IP パケットがサポートされます。Gi インターフェイス上で L2TP トンネルを介して企業ネットワークに到達するまでの間では、GGSN によって新たな PPP セッションが開始されます。つまり、2 番めの PPP エンドポイントのセットは、GGSN と企業ネットワークの LNS との間に位置します。
GGSN での PPP 再生成では、IP PDP タイプと PPP および L2TP を組み合せて使用できます。PPP 再生成をサポートするように設定されているアクセス ポイントで GGSN が受信する各 IP PDP コンテキストに対して、GGSN は PPP セッションを再生成します。GGSN では、すべての Tunnel Packet Data Unit(TPDU; トンネル パケット データ ユニット)が PPP ヘッダーおよび L2TP ヘッダーにデータ トラフィックとしてカプセル化されて、LNS に転送されます。
GGSN での PPP 再生成では、重複する IP アドレスを処理するために VPN Routing and Forwarding(VRF; VPN ルーティングおよび転送)が実装されます。PPP 再生成が設定された各 Access Point Name(APN; アクセス ポイント ネーム)では、VRF ルーティング テーブルが自動的にイネーブルになります。
Cisco GGSN リリース 8.0 以降の場合、GGSN では、ソフトウェア Interface Description Block(IDB; インターフェイス デスクリプション ブロック)上で動作する PPP セッションに PDP を再生成できます。これにより、サポートされるセッション数が増加します。
制約事項
GGSN での PPP 再生成のサポートには、次の制約事項があります。
• VRF の手動設定はサポートされていません。
• ppp authentication インターフェイス コンフィギュレーション コマンドを使用して、少なくとも 1 つの PPP 認証プロトコルをイネーブルにする必要があります。
• PPP 再生成仮想テンプレートに、 no peer default ip address コマンドが設定されている必要があります。
注意 コンソール ロギングがイネーブルになっており(
logging console コマンド)、PPP 再生成仮想テンプレートでリンク ステータス ログがオフになっていない場合に GGSN で PPP 再生成コンテキストを作成すると、GGSN での CPU 利用率が通常よりも高くなることがあります。
図 9-4 に、GPRS ネットワーク内の、GGSN での PPP 再生成を使用した PPP サポートの実装を示します。
図 9-4 GGSN での PPP 再生成トポロジ
LAC としての GGSN の設定
企業ネットワークの LNS への L2TP サービスを GGSN で使用する場合は、GGSN で VPDN サービスをイネーブルにすることによって、GGSN を LAC として設定する必要があります。
Cisco IOS ソフトウェアでの VPDN 設定およびコマンドの詳細については、資料『 Cisco IOS Dial Technologies Configuration Guide 』および『 Command Reference 』を参照してください。
GGSN を LAC として設定し、GGSN にトンネル パラメータをローカルに設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# vpdn enable |
ルータまたは Cisco IOS ソフトウェアのインスタンスで VPDN をイネーブルにし、ローカル データベースおよび存在する場合にはリモート認可サーバ(ホーム ゲートウェイ)でトンネル定義を検索するようにルータまたはインスタンスに指示します。 (注) RADIUS サーバを使用してトンネル パラメータを提供する場合は、このステップだけが必要です。 |
ステップ 2 |
Router(config)# vpdn domain-delimiter characters [ suffix | prefix ] |
(任意)ドメイン プレフィクスまたはドメイン サフィクスを区切るために使用する文字を指定します。使用可能な文字は、%、-、@、\、#、および / です。デフォルトは @ です。 (注) バックスラッシュ(\)がコマンド ラインの最後のデリミタである場合は、二重のバックスラッシュ(\\)として入力してください。 |
ステップ 3 |
Router(config)# vpdn-group group-number |
VPDN グループを定義して、VPDN グループ コンフィギュレーション モードを開始します。 |
ステップ 4 |
Router(config-vpdn)# request-dialin |
ルータまたは Cisco IOS ソフトウェアのインスタンスでダイヤルイン トンネルの要求をイネーブルにし、ダイヤルイン VPDN サブグループ要求コンフィギュレーション モードを開始します。 |
ステップ 5 |
Router(config-vpdn-req-in)# protocol l2tp |
ダイヤルイン トンネルでの L2TP プロトコルの使用を指定します。 |
ステップ 6 |
Router(config-vpdn-req-in)# domain domain-name |
このドメイン名を持つユーザがトンネリングされることを指定します。トンネリングするすべてのドメイン名に対してこのコマンドを設定します。 |
ステップ 7 |
Router(config-vpdn-req-in)# exit |
VPDN グループ コンフィギュレーション モードに戻ります。 |
ステップ 8 |
Router(config-vpdn)# initiate-to ip ip-address [ limit limit-number ] [ priority priority-number ] |
トンネルの宛先 IP アドレスを指定します。 |
ステップ 9 |
Router(config-vpdn)# local name name |
トンネルの認証に使用されるローカル名を指定します。 |
(注) L2TP トンネル パラメータは、GGSN にローカルで設定したり、RADIUS サーバで提供することができます。RADIUS サーバでトンネル パラメータを提供する場合、この手順で必要となるのは、GGSN に対して vpdn enable コマンドを設定することだけです。
L2TP 用の AAA サービスのサポートの設定
GGSN 上の VPDN スタックで LNS への L2TP トンネルが開かれる前に、まずトンネルの認可が試行されます。GGSN では、ローカル データベースに問い合せてこの認可が実行されます。したがって、L2TP トンネルの認可をサポートするためには、GGSN に対して適切な AAA サービスを設定する必要があります。これは、トンネル自体の認可であり、ユーザの認可ではありません。
この項では、GGSN で L2TP の認可のサポートを実装するために必要なコマンドだけを説明します。GGSN での RADIUS および AAA のサポートを設定するために必要なすべての作業について説明するわけではありません。GGSN での AAA サービスのイネーブルおよび AAA サーバ グループの設定の詳細については、このマニュアルの 「GGSN でのセキュリティの設定」 を参照してください。
(注) GGSN で L2TP 用の認証および認可サービスのサポートを正しく実装するには、両方に対して同じ方式およびサーバ グループを設定する必要があります。
GGSN で L2TP の認可のサポートを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# aaa authorization network default local |
(任意)GGSN が、トンネルの認可において、 username コマンドでの定義に従ってローカル データベースに問い合せることを指定します。 |
ステップ 2 |
Router(config)# aaa authorization network {default | list-name} group group-name [ group group-name...] |
PPP を実行するインターフェイスで使用する 1 つ以上の AAA 方式を指定します。それぞれの意味を次に示します。 • network:SLIP1、PPP2、PPP NCPs3、ARA4 など、ネットワーク関連のすべてのサービス リクエストで認可を実行します。 • default:この引数のあとに指定された認証方式を、ユーザがログインするときのデフォルトの方式リストとして使用します。 • list-name:ユーザのログイン時に試行される認証方式のリストを指定するための文字列を指定します。 • group group-name:aaa group server radius コマンドで定義されている RADIUS サーバのサブセットを認証に使用します。 (注) 方式リストを必ず使用してください。aaa authorization network default group radius 形式のコマンドは使用しないでください。L2TP のサポートでは、group-name は aaa authentication ppp コマンドで指定するグループと同じである必要があります。 |
ステップ 3 |
Router(config)# username name password secret |
CHAP 発信者識別で使用するパスワードを指定します。 name はトンネルの名前です。 の形式のユーザ名は、それぞれ 3 つの異なるエントリであると見なされます。 このステップを繰り返して、ローカル ルータまたはアクセス サーバが認証を行う各リモート システムに対してユーザ名エントリを追加します。 |
(注) L2TP トンネル パラメータは、GGSN にローカルで設定したり、RADIUS サーバで提供することができます。RADIUS サーバでトンネル パラメータを提供する場合、この手順で必要となるのは、GGSN に対して username コマンドを設定することだけです。
PPP 仮想テンプレート インターフェイスの設定
PPP 再生成を行う IP over GTP をサポートするには、GGSN で、PPP カプセル化をサポートする仮想テンプレート インターフェイスを設定する必要があります。したがって、GGSN は、GTP カプセル化に 1 つ、PPP カプセル化に 1 つの合計 2 つの仮想テンプレート インターフェイスを持つことになります。GGSN では、GGSN での PPP セッションのすべての PPP 仮想アクセス インターフェイスを作成するために、PPP 仮想テンプレート インターフェイスが使用されます。
PPP はデフォルトのカプセル化タイプであるため、明示的に設定する必要はなく、インターフェイスに対する show running-config の出力には表示されません。
GGSN で PPP 再生成をサポートするために PPP 仮想テンプレート インターフェイスに対して使用するコンフィギュレーション コマンドは、前述の GTP over PPP サポートで示したコマンドとは異なります。
GGSN で PPP 仮想テンプレート インターフェイスを設定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# interface virtual-template number |
仮想テンプレート インターフェイスを作成します。 number によって、仮想テンプレート インターフェイスが識別されます。このコマンドによって、インターフェイス コンフィギュレーション モードが開始されます。 と同じである必要があります。 |
ステップ 2 |
Router(config-if)# ip address negotiated |
特定のインターフェイスの IP アドレスが、PPP/IPCP(IP コントロール プロトコル)アドレス ネゴシエーションによって取得されることを指定します。 |
ステップ 3 |
Router(config-if)# no peer neighbor-route |
近接ルートの作成をディセーブルにします。 |
ステップ 4 |
Router(config-if)# no peer default ip address |
このインターフェイスに接続しているリモート ピアに対して IP アドレスが返されないようにします。 |
ステップ 5 |
Router(config-if)# encapsulation ppp |
(任意)仮想テンプレート インターフェイス経由で送信されるパケットのカプセル化タイプとして PPP を指定します。PPP は、デフォルトのカプセル化タイプです。 コマンドの出力には表示されません。 |
ステップ 6 |
Router(config-if)# ppp authentication { protocol1 [ protocol2 ...]} [ if-needed ] [ list-name | default ] [ callin ] [ one-time ] [ optional ] |
少なくとも 1 つの PPP 認証プロトコルをイネーブルにして、インターフェイスでプロトコルが選択される順序を指定します。 |
GGSN での PPP 再生成用の仮想テンプレート インターフェイスの関連付け
PPP 再生成用の仮想テンプレート インターフェイスを関連付ける前に、仮想テンプレート インターフェイスを設定する必要があります。仮想テンプレート インターフェイスに設定する番号は、 gprs gtp ppp-regeneration vtemplate コマンドで指定する番号と同じである必要があります。
PPP 再生成用の仮想テンプレート インターフェイスを関連付けるには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
Router(config)# gprs gtp ppp-regeneration vtemplate number |
PPP 特性を定義した仮想テンプレート インターフェイスを、GGSN での PPP 再生成のサポートと関連付けます。 と同じである必要があります。 |
アクセス ポイントでの PPP 再生成の設定
GGSN で PPP 再生成をイネーブルにするには、PPP 再生成をサポートする各アクセス ポイントを設定する必要があります。GGSN のすべてのアクセス ポイントに対して PPP 再生成をイネーブルにするグローバル コンフィギュレーション コマンドはありません。
アクセス ポイントを作成し、そのタイプを指定するには、グローバル コンフィギュレーション モードで次のコマンドを使用します。
|
|
|
ステップ 1 |
Router(config)# gprs access-point-list list-name |
新しいアクセス ポイント リストの名前を指定するか、既存のアクセス ポイント リストの名前を参照し、アクセス ポイント リスト コンフィギュレーション モードを開始します。 |
ステップ 2 |
Router(config-ap-list)# access-point access-point-index |
新しいアクセス ポイント定義のインデックス番号を指定するか、既存のアクセス ポイント定義を参照し、アクセス ポイント コンフィギュレーション モードを開始します。 |
ステップ 3 |
Router(config-access-point)# access-point-name apn-name |
アクセス ポイント ネットワーク ID を指定します。これには、インターネット ドメイン名が広く使用されています。 は、MS、Home Location Register(HLR; ホーム ロケーション レジスタ)、および Domain Name System(DNS; ドメイン ネーム システム)サーバにプロビジョニングされた APN と一致する必要があります。 |
ステップ 4 |
Router(config-access-point)# access-mode transparent |
(任意)このアクセス ポイントに対して、GGSN によってセキュリティ認可または認証が要求されていないことを指定します。 設定する必要があります。 |
ステップ 5 |
Router(config-access-point)# ppp-regeneration [ max-session number | setup-time seconds | verify-domain | fixed-domain ] |
アクセス ポイントで PPP 再生成のサポートをイネーブルにします。それぞれの意味を次に示します。 • max-session number :アクセス ポイントで許可されている PPP 再生成セッションの最大数を指定します。デフォルト値は 65535 です。 • setup-time seconds :PPP 再生成セッションの確立に許可されている最大時間(1 から 65535 秒)を指定します。デフォルト値は 60 秒です。 • verify-domain :PPP 再生成が使用されている場合には、PDP コンテキストの作成要求で送信された Protocol Configuration Option(PCO; プロトコル設定オプション)Information Element(IE; 情報エレメント)に含まれるドメインを、ユーザが送信した APN と照合して検証するように、GGSN を設定します。 不一致が発生した場合、PDP コンテキストの作成要求は原因コード「Service not supported」で拒否されます。 • fixed-domain :PPP 再生成が使用されている場合、アクセス ポイント ネームを、ユーザまでの L2TP トンネルを開始するドメイン名として使用するように、GGSN を設定します。 ppp-regeneration fixed-domain と ppp-regeneration verify-domain コマンド設定は、相互に排他的です。 ppp-regeneration fixed-domain コマンドが設定されている場合、ドメイン検証は実行できません。 |
GGSN での PPP のモニタリングおよびメンテナンス
この項では、GGSN でのさまざまな PPP 設定をモニタリングするために使用できる show コマンドの概要リストを示します。すべての show コマンドをすべての設定方法に適用できるわけではありません。
GGSN において PPP ステータスをモニタリングおよびメンテナンスするには、次の特権 EXEC コマンドを使用します。
|
|
Router#
show derived-config interface virtual-access
number
|
PPP 再生成セッションの仮想アクセス インターフェイス上の、GTP によって設定されている PPP オプションを表示します。 |
Router#
show gprs gtp pdp-context all
|
現在アクティブなすべての PDP コンテキストを表示します。 |
Router#
show gprs gtp pdp-context path
ip-address
|
指定した SGSN パスの現在アクティブなすべての PDP コンテキストを表示します。 |
Router#
show gprs gtp pdp-context pdp-type ppp
|
PPP を使用して送信される現在アクティブなすべての PDP コンテキストを表示します。 |
Router#
show gprs gtp status
|
GGSN 上の GTP の現在のステータスに関する情報を表示します。 |
Router#
show interfaces virtual-access
number
[
configuration ]
|
指定した仮想アクセス インターフェイスのステータス、トラフィック データ、および設定情報を表示します。 |
Router#
show vpdn session
[
all |
packets |
sequence |
state |
timers |
window ] [
interface |
tunnel |
username ]
|
インターフェイス、トンネル、ユーザ名、パケット、ステータス、ウィンドウ統計情報などの VPN セッション情報を表示します。 |
Router#
show vpdn tunnel
[
all |
packets |
state |
summary |
transport ] [
id |
local-name |
remote-name ]
|
トンネル プロトコル、ID、ローカル トンネル名、リモート トンネル名、送受信パケット、トンネル、転送ステータスなどの VPN トンネル情報を表示します。 |
設定例
この項では、GGSN でのさまざまなタイプの PPP サポートの設定例を示します。次のような例があります。
• 「GGSN での GTP-PPP ターミネーションの設定例」
• 「GTP-PPP-over-L2TP の設定例」
• 「GTP-PPP 再生成の設定例」
• 「L2TP 用の AAA サービスの設定例」
GGSN での GTP-PPP ターミネーションの設定例
次の例は、PAP 認証を使用し、IP アドレスの割り当てに 172.16.0.2 の RADIUS サーバを使用する、GGSN での GTP over PPP の設定を示しています。
Router# show running-config
Building configuration...
Current configuration : 3521 bytes
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
! Enables the router for GGSN services
logging rate-limit console 10 except errors
! Defines AAA server group
aaa group server radius gtp_ppp
server 172.16.0.2 auth-port 2001 acct-port 2002
! Configures authentication and authorization
! methods for PPP support.
aaa authentication ppp gtp_ppp group gtp_ppp
aaa authorization network gtp_ppp group gtp_ppp
aaa accounting network default start-stop group gtp_ppp
! Configures a loopback interface
! for the PPP virtual template interface
ip address 10.88.0.4 255.255.0.0
! Configures a VT interface for
ip address 10.30.30.1 255.255.255.0
interface Virtual-Template1
gprs access-point-list gprs
! Configures a VT interface for
interface Virtual-Template2
no peer default ip address
gprs access-point-list gprs
access-point-name gprs.cisco.com
aaa-group authentication gtp_ppp
aaa-group accounting gtp_ppp
! Associates the PPP virtual template
! interface for use by the GGSN
gprs default charging-gateway 10.7.0.2
gprs memory threshold 512
! Configures a global RADIUS server host
! and specifies destination ports for
! authentication and accounting requests
radius-server host 172.16.0.2 auth-port 2001 acct-port 2002
radius-server retransmit 3
GTP-PPP-over-L2TP の設定例
次の例は、GGSN での L2TP を使用した PPP over GTP のサポートの設定の一部を示しています。トンネル パラメータは GGSN でローカルに設定され、RADIUS サーバからは提供されません。
aaa authorization network default local
! Configures a VPDN group
initiate-to ip 4.0.0.78 priority 1
! Configures a loopback interface
! for the PPP virtual template interface
ip address 10.88.0.1 255.255.255.255
interface Virtual-Template2
description VT for PPP L2TP
no peer default ip address
ppp authentication pap chap
gprs access-point-list gprs
access-point-name ppp-lns
! Associates the PPP virtual template
! interface for use by the GGSN
GTP-PPP 再生成の設定例
次の例は、GGSN での PPP 再生成を行う IP over GTP のサポートの設定の一部を示しています。トンネル パラメータは GGSN でローカルに設定され、RADIUS サーバからは提供されません。
! Configures a VPDN group
initiate-to ip 4.0.0.78 priority 1
l2tp tunnel password 7 0114161648
! Configures a virtual template
! interface for PPP regeneration
interface Virtual-Template2
description VT for PPP Regen
no peer default ip address
ppp authentication pap chap
gprs access-point-list gprs
access-point-name ppp_regen1
! Associates the PPP-regeneration
! virtual template interface for use by the GGSN
gprs gtp ppp-regeneration vtemplate 2
L2TP 用の AAA サービスの設定例
GGSN では、PPP-over-GTP テクノロジーおよび PPP 再生成を行う IP-over-GTP テクノロジーの両方のサポートにおいて、L2TP サポートが使用されます。次の例は、GGSN で L2TP サポートを提供するための RADIUS および AAA サービスの設定の一部を示しています。
! Defines AAA server group
aaa group server radius gtp_ppp
server 172.16.0.2 auth-port 2001 acct-port 2002
! Configures authentication and authorization
! method gtp_ppp and AAA server group gtp_ppp
! NOTE: You must configure the same methods and groups
! to support L2TP as shown by the
! aaa authentication ppp gtp_ppp
! and aaa authorization network gtp_ppp commands.
aaa authentication ppp gtp_ppp group gtp_ppp
aaa authorization network default local
aaa authorization network gtp_ppp group gtp_ppp
aaa accounting network default start-stop group radius
username nas password 0 lab
username hgw password 0 lab
! Configures a global RADIUS server host
! and specifies destination ports for
! authentication and accounting requests
radius-server host 172.16.0.2 auth-port 2001 acct-port 2002
radius-server retransmit 3