IPv6トンネル上でIPsec接続を行う設定例です。この設定例ではOCNバーチャルコネクトは動的IPアドレス(シェアードアドレス)の契約とします。Advertisement)でIPv6プレフィックスの払い出しが行われることを想定しています。※「OCNバーチャルコネクト」はNTTコミュニケーションズ株式会社の登録商標です。】NXR-650,NXR-610Xシリーズ,NXR-530,NXR-160/LW,NXR-G200シリーズ,NXR-G180/L-CA,NXR-G120シリーズ,NXR-G110シリーズ(2023/10現在)最新の対応状況は、各製品の更新履歴やユーザーズガイドをご確認ください。】この例で使用しているルータは、NXR_AがNXR-650、NXR_BがNXR-530です。NXR_Aのeth1で接続しているISPのDNSサーバアドレスを以下とします。プライマリDNSサーバ:203.0.113.253セカンダリDNSサーバ:203.0.113.254NXR_BはIPv6プレフィックスはRAで、DNSサーバアドレスはDHCPv6で取得します。DHCPv6で広告し、IPv4アドレスはDHCPで配布します。NXR_Aホスト名を設定します。192.168.10.1/24ethernet0インタフェースのIPv4アドレスを設定します。254192.168.20.0/24向けのルートを設定します。203.0.113.2IPv4デフォルトルートを設定します。4500IPv4アクセスリストeth1_INを以下のルールで設定します。IPv4アクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングを行うインタフェースでの登録が必要になります。NATトラバーサルを有効にします。anyIPsecアクセスリストIPsec_ACLを以下のルールで設定します。ipIPsecトンネルの送信元IPアドレスにipを設定します。NXR_BISAKMPポリシー1の説明文を設定します。IPsecKEY認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵を設定します。1と共通の値を設定します。sha256認証アルゴリズムをsha256に設定します。aes128暗号化アルゴリズムをaes128に設定します。SAのライフタイムを設定します。aggressiveフェーズ1のネゴシエーションモードをアグレッシブモードに設定します。anyリモートアドレスにanyを設定します。NXRBリモートID(FQDN方式)を設定します。1のセルフIDと同じIDを設定します。KeepAlive(DPD)を以下のルールで設定します。ISAKMPポリシーで使用するIPsecローカルポリシーを設定します。ipv4に設定します。1このトンネルインタフェースで使用するIPsecトンネルポリシーを設定します。MSSの調整機能をオートに設定します。NXR_BIPsecトンネルポリシー1の説明文を設定します。responderネゴシエーションモードをresponderに設定します。esp-sha256-hmac暗号化アルゴリズムをaes128、認証アルゴリズムをsha256に設定します。group5PFSを有効、DHグループをgroup5に設定します。SAのライフタイムを設定します。ISAKMPポリシーを設定します。IPsec_ACLIPsecアクセスリストを設定します。203.0.113.1/30ethernet1インタフェースのIPv4アドレスを設定します。spi-filterIPマスカレード、IPv4ステートフルパケットインスペクションを有効にします。eth1_INIPv4アクセスグループのinフィルタにIPv4アクセスリストeth1_INを設定します。MSSの調整機能をオートに設定します。1このインタフェースで使用するIPsecローカルポリシーを設定します。enableDNSサービスを有効にします。203.0.113.254DNSサーバアドレスを設定します。enableファストフォワーディングを有効にします。config設定内容を保存します。NXR_Bホスト名を設定します。254192.168.10.0/24向けのルートを設定します。0IPv4デフォルトルートを設定します。4IPv6アクセスリストeth1_INを以下のルールで設定します。IPv6アクセスリストを設定しただけではフィルタとして有効にはなりません。フィルタリングを行うインタフェースでの登録が必要になります。NATトラバーサルを有効にします。anyIPsecアクセスリストIPsec_ACLを以下のルールで設定します。ipIPsecトンネルの送信元IPアドレスにip(IPv4)を設定します。NXRBセルフID(FQDN方式)を設定します。1のリモートIDと同じIDを設定します。NXR_AISAKMPポリシー1の説明文を設定します。IPsecKEY認証方式としてpre-share(事前共有鍵)を選択し、事前共有鍵を設定します。1と共通の値を設定します。sha256認証アルゴリズムをsha256に設定します。aes128暗号化アルゴリズムをaes128に設定します。SAのライフタイムを設定します。aggressiveフェーズ1のネゴシエーションモードをアグレッシブモードに設定します。203.0.113.1リモートアドレスにNXR_AのWAN側IPv4アドレスを設定します。KeepAlive(DPD)を以下のルールで設定します。ISAKMPポリシーで使用するIPsecローカルポリシーを設定します。ipv4に設定します。1このトンネルインタフェースで使用するIPsecトンネルポリシーを設定します。MSSの調整機能をオートに設定します。NXR_AIPsecトンネルポリシー1の説明文を設定します。autoネゴシエーションモードをautoに設定します。esp-sha256-hmac暗号化アルゴリズムをaes128、認証アルゴリズムをsha256に設定します。group5PFSを有効、DHグループをgroup5に設定します。SAのライフタイムを設定します。ISAKMPポリシーを設定します。IPsec_ACLIPsecアクセスリストを設定します。IPv6DHCPCDHCPv6クライアント設定の名前を定義します。enableinformation-only機能を有効にします。dns-serversDHCPv6サーバに対してDNSサーバアドレスの通知を要求するように設定します。IPv6DHCPSDHCPv6サーバ設定の名前を定義します。Reply送信時に、DNSサーバアドレスを通知するように設定します。この設定例ではDHCPv6クライアントで取得したDNSサーバアドレスを広告します。autoMAP-Eルール名をVIRTUALCONNECTとし、MAP-Eのルールタイプをocn,取得方法をautoに設定します。mape-rulemap0インタフェースにMAPルールで割り当てられたIPv4アドレスを設定します。VIRTUALCONNECTトンネルモードとMAP-Eルール名を設定します。spi-filterIPv4ステートフルパケットインスペクションを有効にします。MSSの調整機能をオートに設定します。encap-limitencap-limit設定を無効にします。1このインタフェースで使用するIPsecローカルポリシーを設定します。192.168.20.1/24ethernet0インタフェースのIPv4アドレスを設定します。VIRTUALCONNECTethernet0インタフェースのIPv6アドレスを設定します。インタフェースIDにはMAP-Eルール名を設定します。Advertisement)を送信するように設定します。other-config-flagRAパケットのOフラグ(other-config-flag)を設定します。Server)を送信するように設定します。この設定例ではDHCPv6クライアントで取得したDNSサーバアドレスを広告します。IPv6DHCPSDHCPv6サーバ名を指定し、DHCPv6サーバを有効にします。access-linkdownIPアクセスリンクダウンを有効にします。access-linkdownIPv6アクセスリンクダウンを有効にします。DHCPサーバを設定します。addressethernet1インタフェースのIPv4アドレスを無効にします。0RAプロキシを有効にします。IPv6DHCPCDHCPv6クライアント名を指定し、DHCPv6クライアントを有効にします。eth1_INIPv6アクセスグループのinフィルタにIPv6アクセスリストeth1_INを設定します。spi-filterIPv6ステートフルパケットインスペクションを有効にします。enableDNSサービスを有効にします。enableEDNSを有効にします。enableファストフォワーディングを有効にします。config設定内容を保存します。情報セキュリティ基本方針。