IPSec 内部パケットに対してパケット単位のルーティング ルックアップをイネーブルにします。

次のコマンドを入力して、保護するトラフィックを定義する ACL を作成します。

hostname(config)# access-list 101 permit ip 10.0.0.0 255.255.255.0 10.1.1.0 255.255.255.0

トラフィックを保護する方法を定義する IKEv1 トランスフォーム セットを設定するには、次のコマンドを入力します。

hostname(config)# crypto ipsec ikev1 transform-set myset1 esp-aes esp-sha-hmac 
hostname(config)# 
hostname(config)# crypto ipsec ikev1 transform-set aes_set esp-md5-hmac esp-aes-256

トラフィックを保護する方法も定義する IKEv2 プロポーザルを設定するには、次のコマンドを入力します。

hostname(config)# crypto ipsec ikev2 ipsec-proposal secure

hostname(config-ipsec-proposal)# protocol esp encryption aes

（任意）管理者はパス最大伝送単位（PMTU）エージングをイネーブルにして、PMTU 値を元の値にリセットする間隔を設定することができます。

暗号マップを作成するには、シングルまたはマルチ コンテキスト モードを使用して、次のサイトツーサイト手順を実行します。

1. ACL を暗号マップに割り当てます。

   crypto map map-name seq-num match address access-list-name

   暗号マップ セットとは、暗号マップ エントリの集合です。エントリはそれぞれ異なるシーケンス番号（seq-num）を持ちますが、map name が同じです。access-list-name では、ACL ID を、最大 241 文字の文字列または整数として指定します。次の例では、mymap がクリプト マップ セットの名前です。マップ セットのシーケンス番号は 10 です。シーケンス番号は、1 つのクリプト マップ セット内の複数のエントリにランクを付けるために使用します。シーケンス番号が小さいほど、プライオリティが高くなります。

   例:

   この例では、ACL 101 が暗号マップ mymap に割り当てられます。

   
   crypto map mymap 10 match address 101
   
   

2. IPsec で保護されたトラフィックの転送先となるピアを指定します。

   crypto map map_name sequence numberset peer ip_address1 [ip_address2] [...]

   例:

   
   crypto map mymap 10 set peer 192.168.1.100
   
   

   ASA は、ピアに IP アドレス 192.168.1.100 が割り当てられている SA をセットアップします。

   （注）	9.14(1) 以降、ASA は IKEv2 クリプトマップの複数ピアをサポートしています。最大 10 ピアをリストに追加できます。

3. このクリプト マップに対して、IKEv1 トランスフォーム セットと IKEv2 プロポーザルのどちらを許可するかを指定します。複数のトランスフォーム セットまたはプロポーザルを、プライオリティ順（最高のプライオリティのものが最初）に列挙します。1 つの暗号マップに最大 11 個のトランスフォーム セットまたはプロポーザルを指定できます。次の 2 つのいずれかのコマンドを使用します。

   crypto map map-name seq-num set ikev1 transform-set transform-set-name1 [transform-set-name2, …transform-set-name11]

   または

   crypto map map-name seq-num set ikev2 ipsec-proposal proposal-name1 [proposal-name2, … proposal-name11 ]

   proposal-name1 と proposal-name11 では、IKEv2 の IPsec プロポーザルを 1 つ以上指定します。各暗号マップ エントリは、最大 11 個のプロポーザルをサポートします。

   例:

   IKEv1 の場合のこの例では、トラフィックが ACL 101 に一致したときに、SA は、どのトランスフォーム セットがピアのトランスフォーム セットに一致するかによって、myset1（第 1 プライオリティ）と myset2（第 2 プライオリティ）のいずれかを使用できます。

   
   crypto map mymap 10 set ikev1 transform-set myset1 myset2
   
   

4. （任意）IKEv2 では、トンネルに ESP 暗号化と認証を適用するための mode を指定します。これにより、ESP が適用されるオリジナルの IP パケットの部分が決定されます。

   crypto map map-name seq-num set ikev2 mode [transport | tunnel | transport-require]

   • [Tunnel mode]（デフォルト）：カプセル化モードがトンネル モードになります。トンネル モードでは、ESP 暗号化と認証が元の IP パケット全体（IP ヘッダーとデータ）に適用されるため、本来の送信元アドレスと宛先アドレスが非表示になります。元の IP データグラム全体が暗号化され、新しい IP パケットのペイロードになります。

     このモードでは、ルータなどのネットワーク デバイスが IPsec のプロキシとして動作できます。つまり、ルータがホストに代わって暗号化を行います。送信元ルータがパケットを暗号化し、IPsec トンネルを使用して転送します。宛先ルータは元の IP データグラムを復号化し、宛先システムに転送します。

     トンネル モードの大きな利点は、エンド システムを変更しなくても IPsec を利用できるということです。また、トラフィック分析から保護することもできます。トンネル モードを使用すると、攻撃者にはトンネルのエンドポイントしかわからず、トンネリングされたパケットの本来の送信元と宛先はわかりません（これらがトンネルのエンドポイントと同じ場合でも同様）。

   • [Transport mode]：ピアがサポートしていない場合、カプセル化モードは、トンネル モードにフォールバックするオプション付きの転送モードになります。transport モードでは IP ペイロードだけが暗号化され、元の IP ヘッダーはそのまま使用されます。

     このモードには、各パケットに数バイトしか追加されず、パブリック ネットワーク上のデバイスに、パケットの最終的な送信元と宛先を認識できるという利点があります。transport モードでは、中間ネットワークでの特別な処理（たとえば QoS）を、IP ヘッダーの情報に基づいて実行できるようになります。ただし、レイヤ 4 ヘッダーが暗号化されるため、パケットの検査が制限されます。

   • [Transport Required]：カプセル化モードは転送モードにしかなりません。トンネル モードにフォールバックすることはできません。

   デフォルトは tunnel カプセル化モードです。transport カプセル化モードは、ピアがこのモードをサポートしていない場合に tunnel モードにフォールバックできる転送モードであり、transport-require カプセル化モードでは、転送モードのみが適用されます。

   （注）	転送モードは、リモート アクセス VPN には推奨されません。

   カプセル化モードのネゴシエーションの例は次のとおりです。

   • イニシエータが転送モードを提案し、レスポンダがトンネル モードで応答した場合、イニシエータはトンネル モードにフォールバックします。

   • 発信側が tunnel モードを提示し、応答側が transport モードで応答した場合、応答側は tunnel モードにフォールバックします。

   • 発信側が tunnel モードを提示し、応答側が transport-require モードの場合、応答側はプロポーザルを送信しません。

   • 同様に、イニシエータが transport-require モードで、レスポンダがトンネル モードの場合は、レスポンダから NO PROPOSAL CHOSEN が送信されます。

5. （任意）グローバル ライフタイムを上書きする場合は、クリプト マップの SA ライフタイムを指定します。

   crypto map map-name seq-num set security-association lifetime { seconds number | kilobytes {number | unlimited}}

   map-name では、暗号マップセットの名前を指定します。seq-num では、暗号マップエントリに割り当てる番号を指定します。時間または送信されたデータに基づいて両方のライフタイムを設定できます。ただし、データ送信ライフタイムはサイト間 VPN にのみ適用され、リモート アクセス VPN には適用されません。

   例:

   この例では、クリプト マップ mymap の指定時刻ライフタイムを 10 ～ 2700 秒（45 分）に短縮します。トラフィック量ライフタイムは変更されません。

   
   crypto map mymap 10 set security-association lifetime seconds 2700
   
   

6. （任意）IPsec がこのクリプト マップに対して新しい SA を要求するときに PFS を要求するか、または IPsec ピアから受け取る要求に PFS を要求するかを指定します。

   crypto map map_name seq-num set pfs [group14 | group15 | group16 | group19 | group20 | group21]

   例:

   この例では、暗号マップ mymap 10 に対して新しい SA をネゴシエートするときに PFS が必要です。ASA は、2048 ビット Diffie-Hellman プライムモジュラスグループを新しい SA で使用します。

   crypto map mymap 10 set pfs group14
   
   
   

7. （任意）このクリプト マップ エントリに基づく接続に対して逆ルート注入（RRI）をイネーブルにします。

   crypto map map_name seq-num set reverse-route [dynamic]

   ダイナミックが指定されていない場合、RRI は設定時に行われ、静的とみなされます。設定が変更または削除されるまでそのままになります。ASA は、ルーティング テーブルにスタティック ルートを自動的に追加し、OSPF を使用してそれらのルートをプライベート ネットワークまたはボーダー ルータに通知します。送信元/宛先（0.0.0.0/0.0.0.0）を保護ネットワークとして指定する場合は、RRI をイネーブルにしないでください。デフォルトルートを使用するトラフィックに影響します。

   ダイナミックが指定されている場合、ルートは IPsec セキュリティ アソシエーション（SA）の確立成功時に作成され、IPsec SA が削除されると削除されます。

   （注）	ダイナミック RRI は IKEv2 ベースのスタティック暗号マップだけに適用されます。

   例:

   crypto map mymap 10 set reverse-route dynamic
   
   

IPsec トラフィックを評価するために、クリプト マップ セットをインターフェイスに適用します。

crypto map mymap interface outside

（任意） ACL をダイナミック暗号マップに割り当てます。

crypto dynamic-map dyn1 10 match address 101

このダイナミック暗号マップに対して、どの IKEv1 トランスフォーム セットまたは IKEv2 プロポーザルを許可するかを指定します。複数のトランスフォーム セットまたはプロポーザルをプライオリティ順に（最高のプライオリティのものが最初）指定します。IKEv1 トランスフォーム セットまたは IKEv2 プロポーザルに応じたコマンドを使用してください。

crypto dynamic-map dyn 10 set ikev1 transform-set myset1 myset2

（任意） グローバル ライフタイム値を無効にする場合は、暗号ダイナミック マップ エントリの SA ライフタイムを指定します。

crypto dynamic-map dyn1 10 set security-association lifetime seconds 2700

（任意） IPsec がこのダイナミック暗号マップに対して新しい SA を要求するときに PFS を要求するか、または IPsec ピアから受け取る要求に PFS を要求するかを指定します。

crypto dynamic-map dyn1 10 set pfs group14

ダイナミック クリプト マップ セットをスタティック クリプト マップ セットに追加します。

crypto map  mymap 200 ipsec-isakmp dynamic dyn1