ルートベース IPsec セッションの追加

ルートベース IPsec VPN を追加すると、BGP などの優先プロトコルを使用して仮想トンネルインターフェイス (VTI) を介して動的に学習されたルートをベースとするトラフィックに対して、トンネリングが行われます。IPsec は、VTI を通過するすべてのトラフィックを保護します。

このトピックに記載されている手順では、[IPsec セッション] タブを使用してルートベース IPsec セッションを作成します。また、トンネル、IKE、および DPD プロファイルの情報の追加や、ルートベース IPsec VPN で使用する既存のローカルエンドポイントの選択を行います。

注：

IPsec VPN サービスを正常に構成した後すぐに、IPsec VPN セッションを追加することもできます。IPsec VPN サービスの構成を続行するよう求められたら、[はい] をクリックし、[IPsec サービスの追加] パネルで [セッション] > [セッションの追加] の順に選択します。以下の手順の前半は、IPsec VPN サービスの構成を続行するよう求められたときに [いいえ] を選択したことが前提となっています。[はい] を選択した場合は、次の手順の手順 3 に進み、手順に沿ってルートベース IPsec VPN セッションの続きの構成を行います。

前提条件

続行する前に、IPsec VPN サービスを構成する必要があります。「IPsec VPN サービスの追加」を参照してください。
ローカルエンドポイント、ピアサイトの IP アドレス、追加するルートベース IPsec セッションで使用するトンネルサービスの IP サブネットアドレスの情報を取得します。ローカルエンドポイントを作成するには、ローカルエンドポイントの追加を参照してください。
認証に事前共有キー (PSK) を使用している場合は、PSK 値を取得します。
認証に証明書を使用している場合は、必要なサーバ証明書と対応する CA 署名付き証明書がすでにインポートされていることを確認します。「証明書」を参照してください。
NSX-T Data Center から提供された IPsec トンネル、IKE、または Dead Peer Detection (DPD) プロファイルのデフォルト値を使用しない場合は、代わりに使用するプロファイルを構成します。詳細については、「プロファイルの追加」を参照してください。

手順

ブラウザから、NSX Manager (https://<nsx-manager-ip-address>) に管理者権限でログインします。
[ネットワーク] > [VPN] > [IPsec セッション] に移動します。
[IPsec セッションの追加] > [ルートベース] を選択します。
ルートベース IPsec セッションの名前を入力します。
[VPN サービス] ドロップダウンメニューから、この新しい IPsec セッションを追加する IPsec VPN サービスを選択します。

注： [IPsec セッションの追加] ダイアログボックスでこの IPsec セッションを追加する場合は、 [IPsec セッションの追加] ボタンの上に VPN サービスの名前がすでに示されています。
ドロップダウンメニューから既存のローカルエンドポイントを選択します。
このローカルエンドポイントの値は必須で、ローカル NSX Edge ノードの識別に使用されます。別のローカルエンドポイントを作成する場合は、3 つのドットで示されるメニュー（）をクリックし、 [ローカルエンドポイントの追加] を選択します。
[リモート IP アドレス] テキストボックスにリモートサイトの IP アドレスを入力します。
この値は必須です。
このルートベース IPsec VPN セッションのオプションの説明を入力します。
長さは最大 1,024 文字です。
IPsec セッションを有効または無効にするには、[管理状態] をクリックします。
デフォルトの値は Enabled に設定されています。これは、 NSX Edge ノードまで IPsec セッションが構成されることを意味します。
（オプション） [コンプライアンススイート] ドロップダウンメニューから、セキュリティコンプライアンススイートを選択します。

注：コンプライアンススイートのサポートは、 NSX-T Data Center 2.5 以降で提供されます。詳細については、サポートされているコンプライアンススイートについてを参照してください。
デフォルト値は None に設定されています。コンプライアンススイートを選択すると、 [認証モード] が Certificate に設定されます。 [詳細なプロパティ] セクションで、 [IKE プロファイル] と [IPsec プロファイル] の値が、選択したコンプライアンススイートのシステム定義プロファイルに設定されます。これらのシステム定義のプロファイルは編集できません。
[トンネルインターフェイス] に IP サブネットアドレスを CIDR 形式で入力します。
このアドレスは必須です。
[コンプライアンススイート] が None に設定されている場合は、[認証モード] ドロップダウンメニューからモードを選択します。
使用されるデフォルトの認証モードは PSK です。つまり、IPsec VPN セッションには NSX Edge とリモートサイト間で共有されるプライベートキーが使用されます。 Certificate を選択すると、ローカルエンドポイントの構成に使用されたサイト証明書が認証に使用されます。
認証モードに PSK を選択した場合は、[事前共有キー] テキストボックスにキーの値を入力します。
このプライベートキーは、最大長が 128 文字の文字列です。
注意： PSK 値には機密情報が含まれているため、PSK 値を共有して保存する場合は注意してください。
[リモート ID] の値を入力します。
PSK 認証を使用するピアサイトの場合、この ID 値はピアサイトの IP アドレスまたは FQDN にする必要があります。証明書認証を使用するピアサイトの場合、この ID 値はピアサイトの証明書のコモンネーム (CN) または識別名 (DN) にする必要があります。
注：たとえば、次のようにピアサイトの証明書で識別名 (DN) にメールアドレスが含まれている場合、
```
C=US, ST=California, O=MyCompany, OU=MyOrg, CN=Site123/[email protected]
```
次の形式で [リモート ID] の値を入力します。
```
C=US, ST=California, O=MyCompany, OU=MyOrg, CN=Site123, [email protected]"
```
ローカルサイトの証明書で識別名 (DN) にメールアドレスが含まれ、ピアサイトが strongSwan IPsec を使用している場合は、このピアサイトにローカルサイトの ID 値を入力します。次に例を示します。
```
C=US, ST=California, O=MyCompany, OU=MyOrg, CN=Site123, [email protected]"
```
特定のグループタグの一部としてこの IPsec セッションを含める場合は、[タグ] にタグ名を入力します。

ルートベースの IPsec VPN セッションで使用されるプロファイル、開始モード、TCP MSS クランプモード、タグを変更するには、[詳細なプロパティ] をクリックします。

デフォルトでは、システムによって生成されたプロファイルが使用されます。デフォルトを使用しない場合は、別の利用可能なプロファイルを選択します。まだ構成されていないプロファイルを使用する場合は、3 つのドットで示されるメニュー（縦に並んだ 3 つの黒いドットこのアイコンをクリックすると、サブコマンドのメニューが表示されます。

縦に並んだ 3 つの黒いドットこのアイコンをクリックすると、サブコマンドのメニューが表示されます。

）をクリックして、別のプロファイルを作成します。「プロファイルの追加」を参照してください。

[IKE プロファイル] ドロップダウンメニューが有効になっている場合は、IKE プロファイルを選択します。
[IPsec プロファイル] ドロップダウンメニューが無効になっていない場合は、IPsec トンネルプロファイルを選択します。
[DPD プロファイル] ドロップダウンメニューが有効になっている場合は、優先 DPD プロファイルを選択します。

[接続開始モード] ドロップダウンメニューから優先モードを選択します。

接続開始モードは、トンネルを作成するときにローカルエンドポイントで使用されるポリシーを定義します。デフォルト値は Initiator です。次の表では、使用可能なさまざまな接続開始モードについて説明します。

表 1. 接続開始モード
接続開始モード	説明
Initiator	デフォルト値です。このモードの場合、ローカルエンドポイントは IPsec VPN トンネルの作成を開始して、ピアゲートウェイから受信するトンネル設定要求に応答します。
On Demand	ルートベースの VPN では使用しないでください。このモードは、ポリシーベースの VPN にのみ適用されます。
Respond Only	IPsec VPN は接続を開始しません。ピアサイトは接続要求を常に開始し、ローカルエンドポイントはこの接続要求に応答します。

IPsec 接続中に TCP セッションの最大セグメントサイズ (MSS) ペイロードを削減するには、[TCP MSS クランプ] を有効にして、[TCP MSS の方向] で値を選択します。必要であれば、[TCP MSS 値] を設定します。
詳細については、 TCP MSS クランプの理解を参照してください。
特定のグループタグの一部としてこの IPsec セッションを含める場合は、[タグ] にタグ名を入力します。
[保存] をクリックします。

結果

新しいルートベース IPsec VPN セッションが正常に構成されている場合は、使用可能な IPsec VPN セッションのリストにこのセッションが追加されます。このセッションは読み取り専用モードです。

次のタスク

IPsec VPN トンネルの状態が [稼動中] であることを確認します。詳細については、「VPN セッションのモニタリングとトラブルシューティング」を参照してください。
スタティックルートまたは BGP のいずれかを使用してルーティングを構成します。スタティックルートの構成またはBGP の構成を参照してください。
必要に応じて、セッションの行の左側にある 3 つのドットで示されるメニュー（）をクリックして、IPsec VPN セッションの情報を管理します。実行できるアクションの中から 1 つを選択します。