Cisco IOS XR インターフェイスおよびハードウェア コンポーネント コンフィギュレーション ガイド

トンネル インターフェイスの概要

トンネリングによって、トランスポート プロトコル内の任意のパケットをカプセル化できるようになります。この機能は、設定用の単純なインターフェイスを用意するために、仮想インターフェイスとして実装されます。トンネル インターフェイスは特定の「パッセンジャ」プロトコルや「トランスポート」プロトコルに関連付けられません。トンネル インターフェイスは、任意の標準のポイントツーポイント カプセル化スキームを実装するために必要なサービスを提供できるように設計されたアーキテクチャです。サポートされるトンネルはポイントツーポイント リンクなので、リンクごとに個別のトンネルを設定する必要があります。

トンネル インターフェイスを設定するには、必須の手順が 3 つあります。

1. トンネル インターフェイスを設定します。 interface tunnel-ipsec ID を指定します。

2. トンネルの発信元を設定します。 tunnel source { ip-address | interface-id } を指定します。

3. トンネルの宛先を設定します。 tunnel destination { ip-address | tunnel-id } を指定します。

仮想インターフェイスの命名規則

仮想インターフェイス名では、インターフェイスのラック、スロット、モジュール、およびポートを識別するために、 rack/slot/module/port という物理インターフェイスの表記方法を使用しません。仮想インターフェイスは、物理的なインターフェイスやサブインターフェイスには関連付けられないためです。

仮想インターフェイスでは、仮想インターフェイス タイプごとに、グローバルに一意な数字による ID を使用します。

仮想インターフェイスの表記例：

Tunnel-IPSec の概要

IP Security（IPSec; IP セキュリティ）は、インターネット上のプライベート通信のセキュリティを確保するためのオープン スタンダードのフレームワークです。IPSec は、パブリック ネットワークやセキュアではないネットワークでデータを送信する必要がある、仮想プライベート ネットワーク（VPN）やファイアウォールなどのアプリケーションをサポートするために使用できます。ルータ IPSec プロトコル スイートには、IP レイヤにプライバシ、完全性、および認証サービスを提供するために使用できる一連の標準が用意されています。また、IPSec プロトコル スイートには、ネットワーク レイヤ セキュリティの主要な管理要件をサポートする暗号化技術も含まれます。

IPSec を使用すると、Secure Shell（SSH; セキュア シェル）または Secure Socket Layer（SSL; セキュア ソケット レイヤ）を使用する必要はありません。使用すると、同じデータの暗号化と復号化が 2 回実行され、不要なオーバーヘッドが生じます。IPSec デーモンは、RP と DRP の両方で実行されます。IPSec はルータのオプションの機能です。IPSec は、セキュアなトランスポートが必要なアプリケーションが複数あるユーザに適しています。クライアント側では、Cisco VPN 3000 Client や他のサードパーティ製 IPSec クライアント ソフトウェアを使用して、IPSec VPN を構築できます。

（注） IPSec トンネルはコントロール プレーンに存在するため、トンネルを始動または終了する必要はありません。IPSec トンネルへの送信は、RP または DRP からローカルで発信されたトラフィックの場合だけであり、Tunnel-IPSec に適用するプロファイルの一部として設定されたアクセス制御リスト（ACL）によって検出されます。

Tunnel-IPSec の命名規則

プロファイルは、インターフェイスの tunnel-ipsec のインターフェイス設定サブモードから入力されます。例：

クリプト プロファイル セット

クリプト プロファイル セットを設定し、トンネル インターフェイス（またはクリプト IPSec トランスポート）に適用する必要があります。クリプト IPSec トランスポートの使用の詳細については、「その他の参考資料」に記載されているリンクを参照してください。2 つの IPSec ピア間で IPSec が正常に動作するには、両方のピアのクリプト プロファイル エントリに互換性のある設定ステートメントを含める必要があります。

2 つのピアがセキュリティ アソシエーションの確立を試行するには、相手側ピアのクリプト プロファイル エントリのいずれかと互換性のあるクリプト プロファイル エントリが、各ピアに 1 つ以上必要です。2 つのクリプト プロファイル エントリに互換性があると判断するには、少なくとも次の基準を満たす必要があります。

• 互換性のあるクリプト アクセス リストを含む必要があります。応答側のピアが動的クリプト プロファイルを使用している場合、ローカルのクリプト アクセス リストのエントリは、ピアのクリプト アクセス リストから「許可」される必要があります。

• 各ピアは、相手側ピアを識別する必要があります（ただし、応答側ピアが動的クリプト プロファイルを使用している場合を除きます）。

• 少なくとも 1 つのトランスフォーム セットが共通している必要があります。

（注） クリプト プロファイルは共有できません。つまり、複数のインターフェイスに同じプロファイルは設定できません。

Tunnel-IPSec インターフェイスの設定

ここでは、Tunnel-IPSec インターフェイスの設定方法について説明します。

前提条件

profile コマンドを使用するには、クリプト コマンドの適切なタスク ID を含むタスク グループに関連付けられたユーザ グループに属している必要があります。 tunnel destination コマンドを使用するには、インターフェイス コマンドの適切なタスク ID を含むタスク グループに関連付けられたユーザ グループに属している必要があります。

ユーザ グループとタスク ID の詳細については、『 Cisco IOS XR System Security Configuration Guide 』の「 Configuring AAA Services on Cisco IOS XR Software 」モジュールを参照してください。

次のタスクは、Tunnel-IPSec インターフェイスを作成するために必要です。

• IPSec セキュリティ アソシエーションのグローバルな存続期間を設定する

• チェックポイント処理を設定する

• クリプト プロファイルを設定する

前提条件のチェックポイント処理とクリプト プロファイルの設定方法、および IPSec セキュリティ アソシエーションのグローバルな存続期間を設定する方法の詳細については、『 Cisco IOS XR System Security Configuration Guide 』の「 Implementing IPSec Network Security on Cisco IOS XR Software 」モジュールを参照してください。

クリプト プロファイルの設定後は、IPSec トラフィックが通過する各トンネル インターフェイスにクリプト プロファイルを適用する必要があります。トンネル インターフェイスにクリプト プロファイル セットを適用すると、ルータは、クリプトで保護されるトラフィックの代理として、接続またはセキュリティ アソシエーションのネゴシエーション中に、クリプト プロファイル セットと照合してすべてのインターフェイスの トラフィックを評価し、指定したポリシーを使用するようになります。

手順の概要

1. configure

2. interface tunnel-ipsec identifier

3. profile profile-name

4. tunnel source { ip-address | interface-id }

5. tunnel destination { ip-address | tunnel-id }

6. end
または
commit

7. show ip route

詳細手順

Tunnel-IPSec：例

次に、プロファイルを作成し、IPSec トンネルに適用するプロセスの例を示します。必要な準備手順についても示します。まずトランスフォーム セットを定義し、プロファイルを作成してから、IPSec トンネルを設定します。

関連資料

規格

MIB

RFC

シスコのテクニカル サポート