@network Cisco・アライド実機で学ぶ > Cisco実機で学ぶ(CCNP) > VPN(VPNとNAT その3)
@network Cisco・アライド実機で学ぶ
◆VPN(VPNとNAT その3)

※動作確認は、Cisco2500、Cisco1720、Cisco1721、Cisco2611、Cisco2650、Cisco3620シリーズのルータ、Catalyst2900、Catalyst2950シリーズのスイッチなどで確認しています。コマンド、出力結果、動作は、機種、IOSのバージョンで異なる場合があります。
 資格取得が就職、転職、派遣に有利なのは確かですが、「資格=即戦力」とは言えません。実機を操作して資格取得と同時に就職・転職・派遣後に求められるエンジニア(仕事・ジョブ・ワークの達人)としての即戦力を養いましょう。
 Rakuten

◆VPN(VPNとNAT その3)

VPN(VPNとNAT その2)」の続きです。ここでは、PATを使用したVPNの設定を検証してゆきます。


【注意事項】
※Router_BのE0は、便宜上、強制的に「no shutdown」しておきます。
※この構成では、拠点A、拠点Bの両方で、PATを使用するとうまく動作しません。NATは、内部から外部へ出る際にNATテーブルに書き込み管理します。通信が外部から始まる内部へアクセスは、NATテーブル上にまだ存在しないため、うまく通信ができません。今回は、Router_A上だけでPATを実行することにします。

PC_Aから「172.17.0.1」宛てに、Pingを実行します

 


各ルータで、現在アクティブな「ISAKMP SA」、「IPSec SA」の概要を確認します。

●Router_Aでの「show crypto engine connection active」コマンドの出力
Router_A#show crypto engine connection active

  ID Interface            IP-Address      State  Algorithm           Encrypt  Decrypt
   1 FastEthernet0        200.200.200.1   set    HMAC_SHA+DES_56_CB        0        0
2001 FastEthernet0        200.200.200.1   set    3DES+SHA                  0        3
2002 FastEthernet0        200.200.200.1   set    3DES+SHA                  3        0

●Router_Bでの「show crypto engine connection active」コマンドの出力
Router_B#show crypto engine connection active

  ID Interface            IP-Address      State  Algorithm           Encrypt  Decrypt
   1 FastEthernet0        200.200.200.2   set    HMAC_SHA+DES_56_CB        0        0
2001 FastEthernet0        200.200.200.2   set    3DES+SHA                  0        3
2002 FastEthernet0        200.200.200.2   set    3DES+SHA                  3        0

各拠点で、「ISAKMP SA」、「IPSec SA」が確立されていることが分かります。

Router_Aの現在のNATテーブルを確認します。

●Router_AのNATテーブル
Router_A#show ip nat translations
Pro Inside global      Inside local       Outside local      Outside global
icmp 200.200.200.1:1   172.16.0.2:1       172.17.0.1:1       172.17.0.1:1

送信元IPアドレスが、「172.16.0.2」から「200.200.200.1」に変換されていることが確認できます。

Router_AのIPsecの状態を確認します。

●Router_Aの「」コマンドの出力
Router_A#show crypto ipsec sa

interface: FastEthernet0
    Crypto map tag: MAP-IPSEC, local addr 200.200.200.1

   protected vrf: (none)
   local  ident (addr/mask/prot/port): (200.200.200.1/255.255.255.255/0/0)
   remote ident (addr/mask/prot/port): (172.17.0.0/255.255.0.0/0/0)
   current_peer 200.200.200.2 port 500
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 7, #pkts encrypt: 7, #pkts digest: 7
    #pkts decaps: 7, #pkts decrypt: 7, #pkts verify: 7
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr. failed: 0
    #pkts not decompressed: 0, #pkts decompress failed: 0
    #send errors 1, #recv errors 0

     local crypto endpt.: 200.200.200.1, remote crypto endpt.: 200.200.200.2
     path mtu 1500, ip mtu 1500, ip mtu idb FastEthernet0
     current outbound spi: 0xF37E4C4(255321284)

     inbound esp sas:
      spi: 0x4C961073(1284903027)
        transform: esp-3des esp-sha-hmac ,
        in use settings ={Tunnel, }
        conn id: 2001, flow_id: C1700_EM:1, crypto map: MAP-IPSEC
        sa timing: remaining key lifetime (k/sec): (4544188/2907)
        IV size: 8 bytes
        replay detection support: Y
        Status: ACTIVE

     inbound ah sas:

     inbound pcp sas:

     outbound esp sas:
      spi: 0xF37E4C4(255321284)
        transform: esp-3des esp-sha-hmac ,
        in use settings ={Tunnel, }
        conn id: 2002, flow_id: C1700_EM:2, crypto map: MAP-IPSEC
        sa timing: remaining key lifetime (k/sec): (4544188/2906)
        IV size: 8 bytes
        replay detection support: Y
        Status: ACTIVE

     outbound ah sas:

     outbound pcp sas:

 「local ident」が、「200.200.200.1/255.255.255.255」になっており、「remote ident」が、「172.17.0.0/255.255.0.0」になっています。IPsecの通信対象が、「200.200.200.1」であることが分かります。

 次の「VPN(VPNとNAT その4)」では、NATを使用したVPNとインターネットの接続の設定について紹介してゆきます。


<ネットワーク資格の練習問題に挑戦>
CCNA練習問題に挑戦!(650問)
Network+練習問題に挑戦!(393問)
テクニカルエンジニア(ネットワーク)試験
◆Cisco実機で学ぶ(CCNAルータ編)

ルータの概要・基本操作・設定1 (17項目)
ルータの概要・基本操作・設定3 (22項目)
IGRP・EIGRPの設定 (18項目)
アクセスリスト・ACLの設定 (14項目)
NAT・DHCPの設定 (8項目)
ルータの概要・基本操作・設定2 (17項目)
RIPv1・RIPv2の設定 (14項目)
OSPFの設定・デフォルトルートの伝播(16項目)
WANの設定 (10項目)
◆Cisco実機で学ぶ(CCNAスイッチ編)

スイッチの基本操作・設定 (14項目)
VTP・スパニングツリーの設定 (12項目)
MACアドレスの管理・VLANの設定 (12項目)

◆アライドテレシス実機で学ぶ

基本操作・設定 (11項目)
OSPFの設定 (9項目)
ポリシールーティング・VRRPなど (12項目)
VLAN・マルチホーミング・RIPの設定 (10項目)
STP・ポートトランキングなど (14項目)
<関連コンテンツ>
◆Cisco実機で学ぶ(CCNP)

VPN(VPNとは)
VPN(IKE・フェーズ1・フェーズ2)
VPN(暗号化・認証アルゴリズム)
VPN(VPNの設定手順 その2)
VPN(基本設定 その1)
VPN(基本設定 その3 検証)
VPN(VPN接続とインターネット その1)
VPN(VPN接続とインターネット その3)
VPN(GREトンネルとルーティングプロトコル 1)
VPN(GREトンネルとルーティングプロトコル 3)
VPN(GREトンネルとルーティングプロトコル 5)
VPN(3拠点のVPN接続 その1)
VPN(3拠点のVPN接続 その3)
VPN(DMVPN その1)
VPN(DMVPN その3)
VPN(DMVPN その5)
VPN(DMVPN その7)
VPN(VPNとNAT その1)
VPN(VPNとNAT その3)
VPN(VPNとNAT その5)
VPN(VPNとNAT その7)
VPN(トンネル・エンドポイント・ディスカバリ 2)
VPN(トンネル・エンドポイント・ディスカバリ 4)
VPN(トンネル・エンドポイント・ディスカバリ 6)
VPN(インターネットVPN・IPsec)
VPN(トランスポートモード・トンネルモード)
VPN(VPNの設定手順 その1)
VPN(VPNの設定手順 まとめ)
VPN(基本設定 その2)
VPN(基本設定 その4 確認)
VPN(VPN接続とインターネット その2)
VPN(VPNとルーティングプロトコル)
VPN(GREトンネルとルーティングプロトコル 2)
VPN(GREトンネルとルーティングプロトコル 4)
VPN(GREトンネルとルーティングプロトコル 6)
VPN(3拠点のVPN接続 その2)
VPN(3拠点のVPN接続 その4)
VPN(DMVPN その2)
VPN(DMVPN その4)
VPN(DMVPN その6)
VPN(DMVPN その8)
VPN(VPNとNAT その2)
VPN(VPNとNAT その4)
VPN(VPNとNAT その6)
VPN(トンネル・エンドポイント・ディスカバリ 1)
VPN(トンネル・エンドポイント・ディスカバリ 3)
VPN(トンネル・エンドポイント・ディスカバリ 5)
VPN(トンネル・エンドポイント・ディスカバリ 7)

<関連メニュー>
CCNA実機で学ぶ
CCNP実機で学ぶ
アライドテレシス実機で学ぶ
TCP/IP入門・無料ネットワークツール

Copyright(c)2006- @network Cisco・アライド実機で学ぶ All rights reserved.