CISCO入門

Moroha's Wikiに戻る

バージョン： 1.5.3

オンラインユーザー数： 14
閲覧数表示 本日/トータル： 1 / 2855

最終更新：2014-12-04 (木) 01:18:07

IPsec †

↑

IPSecフレームワーク †

IPsecプロトコルAHEPSEPS+AH
暗号化DES3DESAES
認証MD5SHA
交換鍵(DH)DH1DH2DH3
↑

IPSecのセキュリティプロトコル †

↑

IPsecのカプセル化モード †

↑

トンネルモード †

IPパケット全体をカプセル化し、新しくIPヘッダを付加する。
ESPによる暗号化の対象は元のIPヘッダとデータ部分両方。
サイト間VPNでは一般的にEPSトンネルモードが利用されます。

↑

トランスポートモード †

IPヘッダの後ろにESPヘッダ又はAHヘッダを挿入します。
オリジナルのIPヘッダをそのまま使用し、ESPによる暗号化
の対象はデータ部分だけです。(但しESPトレーラは含まれる)
ユーザのPCで直接IPSec化するリモートアクセスVPNで
トランスポートモードが利用されます。

↑

SA(Security Association) †

↑

SA(トンネル)の種類 †

ISAKMP SAはIKEメッセージを安全に情報交換するために使用されるため、
IKE SAとも呼ばれている。ISAKMP SAは双方向のSAであり、VPNゲートウェイ間で一つです。
IPSec SAは単方向の通信で使用するため送信用と受信用の二つのSAを生成する。

全てのSAはSAデータベース（SAD)に格納される。
対象パケットに運用するセキュリティパラメータは
SPD(Security Policy Database)に格納されます。

①IKEフェーズ1開始

↑

IKEフェーズ1 †

フェーズ1はISAKMPの生成、ピア認証を行います。
フェーズ1でISAKMP SAを確率するためにネゴシエートされるパラメータは次の通り。

IKE通信の発信側をイニシエータ、
応答側をレスポンダと呼びます。

↑

IKEフェーズ1のやり取り †

↑

IKEフェーズ2 †

フェーズ2ではIPSec SAを生成する。
IPSec SAを確立するためにネゴシエートされるパラメータは次の通りです。

ネゴシエーションが完了するとIPSec SA用の暗号鍵をお生成します。
暗号鍵の生成が完了するとIPSec SAが確立しIPSec化されたパケットを転送出来るようになります。

↑

IKEフェーズ2のやり取り †

↑

IKEフェーズの動作モード †

↑

IPSecのコマンド †

↑

ISKMPポリシーの設定 †

IKEフェーズ1のISAKP SAを確立するにはISAKMPポリシ(IKEトランスフォームセット)を設定する必要がある。

Router(config)#crypto isakmp policy 100
Router(config-isakmp)#

config-isakmpの初期値

Router(config-isakmp)#encryption des
Router(config-isakmp)#encryption 3des
Router(config-isakmp)#encryption aes 128
Router(config-isakmp)#encryption aes 192
Router(config-isakmp)#encryption aes 256
最後の数字は鍵の長さ(単位:ビット)

↑

ハッシュアルゴリズムの設定 †

Router(config-isakmp)#hash md5

 md5     Message Digest 5
 sha     Secure Hash Standard
 sha256  Secure Hash Standard 2 (256 bit)
 sha384  Secure Hash Standard 2 (384 bit)
 sha512  Secure Hash Standard 2 (512 bit)
↑

認証方式の指定 †

Router(config-isakmp)#authentication rsa-sig

 pre-share  Pre-Shared Key
 rsa-encr   Rivest-Shamir-Adleman Encryption
 rsa-sig    Rivest-Shamir-Adleman Signature (デフォルト)
↑

事前共通鍵の設定 †

認証方式に事前共通鍵(PSK)を利用する場合は次のコマンドを使用してピアのIPアドレスとパスワード（鍵）を設定する必要があります。

Router(config)#crypto isakmp key cisco address 10.1.1.2

※ciscoはピアと共通のパスワード、10.1.1.2はピアのIPアドレス

↑

Diffie-Hellmanグループ指定 †

Router(config-isakmp)#group 5

 1   Diffie-Hellman group 1 (768 bit/デフォルト)
 14  Diffie-Hellman group 14 (2048 bit)
 15  Diffie-Hellman group 15 (3072 bit)
 16  Diffie-Hellman group 16 (4096 bit)
 19  Diffie-Hellman group 19 (256 bit ecp)
 2   Diffie-Hellman group 2 (1024 bit)
 20  Diffie-Hellman group 20 (384 bit ecp)
 24  Diffie-Hellman group 24 (2048 bit, 256 bit subgroup)
 5   Diffie-Hellman group 5 (1536 bit)
↑

ISAKMP SAのライフタイムの指定 †

Router(config-isakmp)#lifetime 86400

 <60-86400>  lifetime in seconds　(Default:86400/24時間)
↑

IPsecトランスフォームセットの設定 †

フェーズ2

Router(config)#crypto ipsec transform-set test-name esp-aes 256
Router(cfg-crypto-trans)#

 ah-sha-hmac      AH-HMAC-SHA transform
 ah-sha256-hmac   AH-HMAC-SHA256 transform
 ah-sha384-hmac   AH-HMAC-SHA384 transform
 ah-sha512-hmac   AH-HMAC-SHA512 transform
 comp-lzs         IP Compression using the LZS compression algorithm
 esp-3des         ESP transform using 3DES(EDE) cipher (168 bits)
 esp-aes          ESP transform using AES cipher
 esp-des          ESP transform using DES cipher (56 bits)
 esp-gcm          ESP transform using GCM cipher
 esp-gmac         ESP transform using GMAC cipher
 esp-md5-hmac     ESP transform using HMAC-MD5 auth
 esp-null         ESP transform w/o cipher
 esp-seal         ESP transform using SEAL cipher (160 bits)
 esp-sha-hmac     ESP transform using HMAC-SHA auth
 esp-sha256-hmac  ESP transform using HMAC-SHA256 auth
 esp-sha384-hmac  ESP transform using HMAC-SHA384 auth
 esp-sha512-hmac  ESP transform using HMAC-SHA512 auth
↑

IPSecカプセル化方式の設定 †

Router(cfg-crypto-trans)#mode tunnel

 transport  transport (payload encapsulation) mode
 tunnel     tunnel (datagram encapsulation) mode
↑

IPSec SAライフタイムの設定 †

Router(config)#crypto ipsec security-association lifetime seconds 3600

 kilobytes  Volume-based key duration (転送トラフィック量指定：Def4608000)
 seconds    Time-based key duration (有効時間指定：単位 秒 Def3600秒)
↑

暗号ACLの設定 †

R1(config)#　access-list 100 permit ip 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.255

                       左右対象で指定              ↑　　　　　　　　　　　　　　↓

R2(config)#　access-list 100 permit ip 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.255

↑

暗号マップ(crypto map)の定義 †

Router(config)#crypto map test-name 100 ipsec-isakmp
% NOTE: This new crypto map will remain disabled until a peer

       and a valid access list have been configured.

Router(config-crypto-map)#

※test-name：暗号マップ名を指定
※100：シーケンス番号を1-65525で指定

↑

暗号化マップにパラメータを関連付ける †

Router(config-crypto-map)#match address 100暗号ACL番号を指定
Router(config-crypto-map)#set transform-set test-nameトランスフォームセット名を指定
Router(config-crypto-map)#set peer 10.1.1.2IPSecピア(対抗のゲートウェイ)のIPアドレス指定
↑

インターフェースに暗号マップを適応する †

Router(config)#interface fastEthernet 1
Router(config-if)#ip address 10.1.1.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#crypto map test-name

↑

IPSec VPN検証コマンド †

Router#show crypto isakmp policy
Global IKE policy
Protection suite of priority 100
       encryption algorithm:   AES - Advanced Encryption Standard (256 bit keys).
       hash algorithm:         Message Digest 5
       authentication method:  Rivest-Shamir-Adleman Signature
       Diffie-Hellman group:   #5 (1536 bit)
       lifetime:               86400 seconds, no volume limit
Router#show crypto isakmp key
Keyring      Hostname/Address                            Preshared Key

default      10.1.1.2                                    cisco
↑

設定例 †

↑

R1 †

Router(config)#hostname R1

R1(config)#service password-encryption
R1(config)#no ip domain-lookup

R1(config)#line vty 0 4
R1(config-line)#password cisco
R1(config-line)#logging synchronous
R1(config-line)#login
R1(config-line)#exit

R1(config)#line console 0
R1(config-line)#password cisco
R1(config-line)#logging synchronous
R1(config-line)#login
R1(config-line)#exit

R1(config)#interface fastEthernet 1
R1(config-if)#ip address 1.1.1.1 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#exit

R1(config)#interface loopback 0
R1(config-if)#ip address 10.1.1.254 255.255.255.
R1(config-if)#no shutdown
R1(config-if)#exit

R1(config)#crypto isakmp policy 200
R1(config-isakmp)#encryption 3des
R1(config-isakmp)#authentication pre-share
R1(config-isakmp)#group 2
R1(config-isakmp)#lifetime 300
R1(config-isakmp)#exit
R1(config)#crypto isakmp key ROUTE-A address 1.1.1.2
R1(config)#crypto ipsec transform-set TEST1 esp-3des esp-sha-hmac
R1(cfg-crypto-trans)#exit

R1(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255
R1(config)#access-list 101 permit esp host 1.1.1.2 host 1.1.1.1
R1(config)#access-list 101 permit udp host 1.1.1.2 host 1.1.1.1 eq isakmp

R1(config)#ip route 0.0.0.0 0.0.0.0 1.1.1.2

R1(config)#crypto map MAP1 200 ipsec-isakmp
% NOTE: This new crypto map will remain disabled until a peer

       and a valid access list have been configured.

R1(config-crypto-map)#match address 100
R1(config-crypto-map)#set transform-set TEST1
R1(config-crypto-map)#set peer 1.1.1.2

R1(config)#interface fastEthernet 1
R1(config-if)#crypto map MAP1
R1(config-if)#ip access-group 101 in
R1(config-if)#end

↑

R2 †

Router(config)#hostname R2

R2(config)#service password-encryption
R2(config)#no ip domain-lookup

R2(config)#line vty 0 4
R2(config-line)#password cisco
R2(config-line)#logging synchronous
R2(config-line)#login
R2(config-line)#exit

R2(config)#line console 0
R2(config-line)#password cisco
R2(config-line)#logging synchronous
R2(config-line)#login
R2(config-line)#exit

R2(config)#interface fastEthernet 1
R2(config-if)#ip address 1.1.1.2 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#exit

R2(config)#interface loopback 0
R2(config-if)#ip address 10.2.2.254 255.255.255.0
R2(config-if)#no shutdown
R2(config-if)#exit

R2(config)#crypto isakmp policy 200
R2(config-isakmp)#encryption 3des
R2(config-isakmp)#authentication pre-share
R2(config-isakmp)#group 2
R2(config-isakmp)#lifetime 300
R2(config-isakmp)#exit
R2(config)#crypto isakmp key ROUTE-A address 1.1.1.1
R2(config)#crypto ipsec transform-set TEST2 esp-3des esp-sha-hmac
R2(cfg-crypto-trans)#exit

R2(config)#access-list 100 permit ip 10.2.2.0 0.0.0.255 10.1.1.0 0.0.0.255
R2(config)#access-list 101 permit esp host 1.1.1.1 host 1.1.1.2
R2(config)#access-list 101 permit udp host 1.1.1.1 host 1.1.1.2 eq isakmp

R2(config)#ip route 0.0.0.0 0.0.0.0 1.1.1.1

R2(config)#crypto map MAP2 200 ipsec-isakmp
% NOTE: This new crypto map will remain disabled until a peer

       and a valid access list have been configured.

R2(config-crypto-map)#match address 100
R2(config-crypto-map)#set transform-set TEST2
R2(config-crypto-map)#set peer 1.1.1.1
R2(config-crypto-map)#exit
R2(config)#interface fastEthernet 1
R2(config-if)#crypto map MAP2
R2(config-if)#ip access-group 101 in
R2(config-if)#end

↑

show確認 †

R1#show crypto isakmp policy

Global IKE policy
Protection suite of priority 200

       encryption algorithm:   Three key triple DES
       hash algorithm:         Secure Hash Standard
       authentication method:  Pre-Shared Key
       Diffie-Hellman group:   #2 (1024 bit)
       lifetime:               300 seconds, no volume limit

R1#show crypto isakmp key
Keyring Hostname/Address Preshared Key

default 1.1.1.2 ROUTE-A

R1#show crypto ipsec transform-set
Transform set TEST1: { esp-3des esp-sha-hmac }

  will negotiate = { Tunnel,  },

Transform set #$!default_transform_set_1: { esp-aes esp-sha-hmac }

  will negotiate = { Transport,  },

Transform set #$!default_transform_set_0: { esp-3des esp-sha-hmac }

  will negotiate = { Transport,  },

R1#show crypto map
Crypto Map IPv4 "MAP1" 200 ipsec-isakmp

       Peer = 1.1.1.2
       Extended IP access list 100
           access-list 100 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255
       Current peer: 1.1.1.2
       Security association lifetime: 4608000 kilobytes/3600 seconds
       Responder-Only (Y/N): N
       PFS (Y/N): N
       Transform sets={
               TEST1:  { esp-3des esp-sha-hmac  } ,
       }
       Interfaces using crypto map MAP1:
               FastEthernet1

R1#ping 10.2.2.254 source 10.1.1.254
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.2.2.254, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.254
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms

R1#show crypto ipsec sa

interface: FastEthernet1

   Crypto map tag: MAP1, local addr 1.1.1.1
  protected vrf: (none)
  local  ident (addr/mask/prot/port): (10.1.1.0/255.255.255.0/0/0)
  remote ident (addr/mask/prot/port): (10.2.2.0/255.255.255.0/0/0)
  current_peer 1.1.1.2 port 500

～以下略～

トップ   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS