ASAでのIPSec設定

CiscoのASAではRouterの場合とVPN設定が若干異なります。IPSec基本設定のRouterAをASAに置き換えたとしてその違いを見てみます。赤字で書いた箇所が主な違いでは無いかと思います。

(1)ISAKMPポリシーの設定

crypto isakmp enable outside :外部インターフェースでISAKMPをイネーブル化
crypto isakmp policy 1
authentication pre-share
encryption aes
hash sha
group 2
lifetime 86400
crypto isakmp ipsec-over-tcp port 10000

(2)IPSecトランスフォームセットの設定

ASAではデフォルトでFirstSetというトランスフォームセットが設定されているのでこれを利用します。

(3)IPSecを施すACLを設定

access-list l2lacl extended permit ip 10.1.1.0 255.255.255.0 10.1.2.0 255.255.255.0

(4)暗号化マップの設定

ライフタイムは時間(seconds)と送受信されるトラフィック量(kilobytes)の両方を設定できます。

crypto map mymap 1 match address l2lacl
crypto map mymap 1 set peer 1.1.1.2
crypto map mymap 1 set transform-set FirstSet
crypto map mymap 1 set security-association lifetime seconds 1800
crypto map mymap 1 set security-association lifetime kilobytes 4608000
crypto map mymap 1 set reverse-route
:ルーティング テーブルにスタティック ルートを自動的に追加します。
この場合10.1.2.0/24が追加されます。

(5)インターフェースへの適用

ASAではインターフェースモードでは無くインターフェースを指定して設定します。

crypto map mymap interface outside

(6)トンネルグループの設定

トンネルグループは、トンネル接続ポリシーを決定するレコードのセットで構成されます。
トンネルグループ名、タイプを指定した後、ipsec アトリビュート コンフィギュレーションモードに入りpre-shared-keyを記述します。
なお、L2L 接続の場合は、必ずトンネル グループ名を 対向機器ののIPアドレスにします。

tunnel-group 1.1.1.2 type ipsec-l2l
tunnel-group 1.1.1.2 ipsec-attributes
pre-shared-key *****
スポンサーリンク






シェアする

  • このエントリーをはてなブックマークに追加

フォローする