ポリシーベース IPsec セッションの追加

ポリシーベース IPsec VPN を追加する場合、リモート VPN サイトのピアサブネットを持つ NSX Edge ノードの背後にある複数のローカルサブネットの接続に IPsec トンネルが使用されます。

次の手順では、NSX Manager ユーザーインターフェイスの [IPsec セッション] タブを使用してポリシーベース IPsec セッションを作成します。また、トンネル、IKE、および DPD プロファイルの情報を追加し、ポリシーベース IPsec VPN で使用する既存のローカルエンドポイントを選択します。

注：

IPsec VPN サービスを正常に構成した後すぐに、IPsec VPN セッションを追加することもできます。IPsec VPN サービスの構成を続行するよう求められたら、[はい] をクリックし、[IPsec サービスの追加] パネルで [セッション] > [セッションの追加] の順に選択します。以下の手順の前半は、IPsec VPN サービスの構成を続行するよう求められたときに [いいえ] を選択したことが前提となっています。[はい] を選択した場合は、次の手順の手順 3 に進み、ポリシーベース IPsec VPN セッションの残りの構成を続行します。

前提条件

続行する前に、IPsec VPN サービスを構成する必要があります。IPsec VPN サービスの追加を参照してください。
追加するポリシーベース IPsec VPN セッションで使用するローカルエンドポイントの情報、ピアサイトの IP アドレス、ローカルネットワークのサブネット、およびリモートネットワークのサブネットを取得します。ローカルエンドポイントを作成するには、ローカルエンドポイントの追加を参照してください。
認証に事前共有キー (PSK) を使用している場合は、PSK 値を取得します。
認証に証明書を使用している場合は、必要なサーバ証明書と対応する CA 署名付き証明書がすでにインポートされていることを確認します。証明書を参照してください。
NSX-T Data Center によって提供される IPsec トンネル、IKE、または Dead Peer Detection (DPD) プロファイルのデフォルト値を使用しない場合、代わりに使用するプロファイルを構成します。詳細については、プロファイルの追加を参照してください。

手順

ブラウザから、NSX Manager (https://<nsx-manager-ip-address>) に管理者権限でログインします。
[ネットワーク] > [VPN] > [IPsec セッション] タブに移動します。
[IPsec セッションの追加] > [ポリシーベース] を選択します。
ポリシーベース IPsec VPN セッションの名前を入力します。
[VPN サービス] ドロップダウンメニューから、この新しい IPsec セッションを追加する IPsec VPN サービスを選択します。

注： [IPsec セッションの追加] ダイアログボックスでこの IPsec セッションを追加する場合は、 [IPsec セッションの追加] ボタンの上に VPN サービスの名前がすでに示されています。
ドロップダウンメニューから既存のローカルエンドポイントを選択します。
このローカルエンドポイントの値は必須で、ローカル NSX Edge ノードの識別に使用されます。別のローカルエンドポイントを作成する場合は、3 つのドットで示されるメニュー ( ) をクリックして、 [ローカルエンドポイントの追加] を選択します。
[リモート IP] テキストボックスに、リモートサイトに必要な IP アドレスを入力します。
この値は必須です。
このポリシーベース IPsec VPN セッションのオプションの説明を入力します。
長さは最大 1,024 文字です。
IPsec VPN セッションを有効または無効にするには、[管理状態] をクリックします。
デフォルトでは、値は Enabled に設定されています。これは、 NSX Edge ノードまで IPsec VPN セッションが構成されることを意味します。
（オプション） [コンプライアンススイート] ドロップダウンメニューから、セキュリティコンプライアンススイートを選択します。

注：コンプライアンススイートのサポートは、 NSX-T Data Center 2.5 以降で提供されます。詳細については、サポートされているコンプライアンススイートについてを参照してください。
デフォルトで選択される値は None です。コンプライアンススイートを選択すると、 [認証モード] が Certificate に設定されます。 [詳細なプロパティ] セクションで、 [IKE プロファイル] と [IPsec プロファイル] の値が、選択したセキュリティコンプライアンススイートのシステム定義プロファイルに設定されます。これらのシステム定義のプロファイルは編集できません。
[コンプライアンススイート] が None に設定されている場合は、[認証モード] ドロップダウンメニューからモードを選択します。
使用されるデフォルトの認証モードは PSK です。つまり、IPsec VPN セッションには NSX Edge とリモートサイト間で共有されるプライベートキーが使用されます。 Certificate を選択すると、ローカルエンドポイントの構成に使用されたサイト証明書が認証に使用されます。
[ローカルネットワーク] と [リモートネットワーク] テキストボックスに、このポリシーベース IPsec VPN セッションで使用する 1 つ以上の IP サブネットアドレスを入力します。
これらのサブネットは CIDR 形式にする必要があります。
[認証モード] が PSK に設定されている場合は、[事前共有キー] テキストボックスにキーの値を入力します。
このプライベートキーは、最大長が 128 文字の文字列です。
注意： PSK 値には機密情報が含まれているため、PSK 値を共有して保存する場合は注意してください。
ピアサイトを識別するために、[リモート ID] に値を入力します。
PSK 認証を使用するピアサイトの場合、この ID 値はパブリック IP アドレスまたはピアサイトの FQDN にする必要があります。証明書認証を使用するピアサイトの場合、この ID 値はピアサイトの証明書のコモンネーム (CN) または識別名 (DN) にする必要があります。
注：たとえば、次のようにピアサイトの証明書で識別名 (DN) にメールアドレスが含まれている場合、
```
C=US, ST=California, O=MyCompany, OU=MyOrg, CN=Site123/[email protected]
```
次の形式で [リモート ID] の値を入力します。
```
C=US, ST=California, O=MyCompany, OU=MyOrg, CN=Site123, [email protected]"
```
ローカルサイトの証明書で識別名 (DN) にメールアドレスが含まれ、ピアサイトが strongSwan IPsec を使用している場合は、このピアサイトにローカルサイトの ID 値を入力します。次に例を示します。
```
C=US, ST=California, O=MyCompany, OU=MyOrg, CN=Site123, [email protected]"
```

ポリシーベースの IPsec VPN セッションで使用されるプロファイル、開始モード、TCP MSS クランプモード、タグを変更するには、[詳細なプロパティ] をクリックします。

デフォルトでは、システムによって生成されたプロファイルが使用されます。デフォルトを使用しない場合は、別の利用可能なプロファイルを選択します。まだ構成されていないプロファイルを使用する場合は、3 つのドットで示されるメニュー (

) をクリックして別のプロファイルを作成します。プロファイルの追加を参照してください。

[IKE プロファイル] ドロップダウンメニューが有効になっている場合は、IKE プロファイルを選択します。
[IPsec プロファイル] ドロップダウンメニューが無効になっていない場合は、IPsec トンネルプロファイルを選択します。
[DPD プロファイル] ドロップダウンメニューが有効になっている場合は、優先 DPD プロファイルを選択します。

[接続開始モード] ドロップダウンメニューから優先モードを選択します。

接続開始モードは、トンネルを作成するときにローカルエンドポイントで使用されるポリシーを定義します。デフォルト値は Initiator です。次の表では、使用可能なさまざまな接続開始モードについて説明します。

表 1. 接続開始モード
接続開始モード	説明
Initiator	デフォルト値です。このモードの場合、ローカルエンドポイントは IPsec VPN トンネルの作成を開始して、ピアゲートウェイから受信するトンネル設定要求に応答します。
On Demand	このモードの場合、ローカルエンドポイントは、ポリシールールと一致する最初のパケット受信した後に IPsec VPN トンネルの作成を開始します。受信した開始要求にも応答します。
Respond Only	IPsec VPN は接続を開始しません。ピアサイトは接続要求を常に開始し、ローカルエンドポイントはこの接続要求に応答します。

IPsec 接続中に TCP セッションの最大セグメントサイズ (MSS) ペイロードを削減するには、[TCP MSS クランプ] を有効にして、[TCP MSS の方向] で値を選択します。必要であれば、[TCP MSS 値] を設定します。
詳細については、 TCP MSS クランプの理解を参照してください。
特定のグループの一部としてこのセッションを含める場合は、[タグ] にタグ名を入力します。

[保存] をクリックします。

結果

新しいポリシーベース IPsec VPN セッションが正常に構成されている場合は、使用可能な IPsec VPN セッションのリストに追加されます。このセッションは読み取り専用モードです。

次のタスク

IPsec VPN トンネルの状態が [稼動中] であることを確認します。詳細については、VPN セッションのモニタリングとトラブルシューティングを参照してください。
必要に応じて、セッションの行の左側にある 3 つのドットで示されるメニュー () をクリックして、IPsec VPN セッションの情報を管理します。実行できるアクションの中から 1 つを選択します。