# 4. インターネットVPN(IKEv1)設定

## 4.1. メインモードによるインターネットVPN(IKEv1)

PPPoE接続によるインターネットVPN接続設定例です。
IPsec IKEv1のメインモードで接続します。

### 4.1.1. 設定

#### 4.1.1.1. 本装置(A)の設定

    Router# configure
    Router(config)# ip route 198.51.100.1/32 GigaEthernet0.1
    Router(config)# ip route 192.168.1.0/24 Tunnel0.0
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike policy ike-policy peer 198.51.100.1 key psk ike-proposal
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec autokey-map ipsec-policy ipv4 peer 198.51.100.1 ipsec-proposal
    Router(config)# ipsec local-id ipsec-policy 192.168.0.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.1.0/24
    Router(config)# ppp profile ppp-profile
    Router(config-ppp-ppp-profile)# authentication myname user-a@example.com
    Router(config-ppp-ppp-profile)# authentication password user-a@example.com ppp-password-a
    Router(config-ppp-ppp-profile)# exit
    Router(config)# interface GigaEthernet2.0
    Router(config-GigaEthernet2.0)# ip address 192.168.0.254/24
    Router(config-GigaEthernet2.0)# no shutdown
    Router(config-GigaEthernet2.0)# exit
    Router(config)# interface GigaEthernet0.1
    Router(config-GigaEthernet0.1)# encapsulation pppoe
    Router(config-GigaEthernet0.1)# ppp binding ppp-profile
    Router(config-GigaEthernet0.1)# ip address 203.0.113.1/32
    Router(config-GigaEthernet0.1)# no shutdown
    Router(config-GigaEthernet0.1)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

#### 4.1.1.2. 本装置(B)の設定

    Router# configure
    Router(config)# ip route 203.0.113.1/32 GigaEthernet0.1
    Router(config)# ip route 192.168.0.0/24 Tunnel0.0
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike policy ike-policy peer 203.0.113.1 key psk ike-proposal
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec autokey-map ipsec-policy ipv4 peer 203.0.113.1 ipsec-proposal
    Router(config)# ipsec local-id ipsec-policy 192.168.1.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.0.0/24
    Router(config)# ppp profile ppp-profile
    Router(config-ppp-ppp-profile)# authentication myname user-b@example.com
    Router(config-ppp-ppp-profile)# authentication password user-b@example.com ppp-password-b
    Router(config-ppp-ppp-profile)# exit
    Router(config)# interface GigaEthernet2.0
    Router(config-GigaEthernet2.0)# ip address 192.168.1.254/24
    Router(config-GigaEthernet2.0)# no shutdown
    Router(config-GigaEthernet2.0)# exit
    Router(config)# interface GigaEthernet0.1
    Router(config-GigaEthernet0.1)# encapsulation pppoe
    Router(config-GigaEthernet0.1)# ppp binding ppp-profile
    Router(config-GigaEthernet0.1)# ip address 198.51.100.1/32
    Router(config-GigaEthernet0.1)# no shutdown
    Router(config-GigaEthernet0.1)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

### 4.1.2. 解説

#### 4.1.2.1. 本装置(A)の解説

    ip route 198.51.100.1/32 GigaEthernet0.1
    ip route 192.168.1.0/24 Tunnel0.0

IPsecのpeerの宛先をPPPoEインタフェースに設定します。
IPsec接続先をトンネルインタフェースに設定します。

    ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    ike policy ike-policy peer 198.51.100.1 key psk ike-proposal

ISAKMP SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` 、DHグループ `15` と指定しています。
また、IKEのネゴシエーションをする対向装置のIPアドレスと事前共有鍵を設定します。

    ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    ipsec autokey-map ipsec-policy ipv4 peer 198.51.100.1 ipsec-proposal

IPsec SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` と指定しています。
また、対向装置のIPアドレスを設定します。

    ipsec local-id ipsec-policy 192.168.0.0/24
    ipsec remote-id ipsec-policy 192.168.1.0/24

IPsecフェーズ2のID設定です。
IPsecで接続する対向装置とIDが対になるように設定します。

    interface Tunnel0.0
      tunnel mode ipsec
      ipsec policy tunnel ipsec-policy

トンネルモードをIPsecに設定します。
トンネルインタフェースにIPsecのポリシー名を関連付けます。

    interface Tunnel0.0
      ip unnumbered GigaEthernet2.0

トンネルインタフェースのIPアドレス設定です。
"ip unnumbered"コマンドにより、LAN側インタフェース : `GE2.0` のIPアドレスと共有することができます。

    interface Tunnel0.0
      ip tcp adjust-mss auto

トンネルインタフェースを通るTCPパケットのMSS値をトンネルインタフェースのMTU長以下に自動調整します。

#### 4.1.2.2. 本装置(B)の解説

本装置(A)と同様の考え方で設定します。

## 4.2. アグレッシブモードによるインターネットVPN(IKEv1)

PPPoE接続によるインターネットVPN接続設定例です。
IPsec IKEv1のアグレッシブモードで接続します。

### 4.2.1. 設定

#### 4.2.1.1. 本装置(A)の設定

    Router# configure
    Router(config)# ip route default GigaEthernet0.1
    Router(config)# ip route 192.168.1.0/24 Tunnel0.0
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike policy ike-policy peer any key psk mode aggressive ike-proposal
    Router(config)# ike commit-bit ike-policy
    Router(config)# ike remote-id ike-policy keyid ike-id
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec dynamic-map ipsec-policy ipv4 ipsec-proposal ike ike-policy
    Router(config)# ipsec commit-bit ipsec-policy
    Router(config)# ipsec local-id ipsec-policy 192.168.0.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.1.0/24
    Router(config)# ppp profile ppp-profile
    Router(config-ppp-ppp-profile)# authentication myname user-a@example.com
    Router(config-ppp-ppp-profile)# authentication password user-a@example.com ppp-password-a
    Router(config-ppp-ppp-profile)# exit
    Router(config)# interface GigaEthernet2.0
    Router(config-GigaEthernet2.0)# ip address 192.168.0.254/24
    Router(config-GigaEthernet2.0)# no shutdown
    Router(config-GigaEthernet2.0)# exit
    Router(config)# interface GigaEthernet0.1
    Router(config-GigaEthernet0.1)# encapsulation pppoe
    Router(config-GigaEthernet0.1)# ppp binding ppp-profile
    Router(config-GigaEthernet0.1)# ip address 203.0.113.1/32
    Router(config-GigaEthernet0.1)# no shutdown
    Router(config-GigaEthernet0.1)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

#### 4.2.1.2. 本装置(B)の設定

    Router# configure
    Router(config)# ip route 203.0.113.1/32 GigaEthernet0.1
    Router(config)# ip route 192.168.0.0/24 Tunnel0.0
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike suppress-dangling
    Router(config)# ike policy ike-policy peer 203.0.113.1 key psk mode aggressive ike-proposal
    Router(config)# ike keepalive ike-policy 10 3
    Router(config)# ike local-id ike-policy keyid ike-id
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec autokey-map ipsec-policy ipv4 peer 203.0.113.1 ipsec-proposal
    Router(config)# ipsec local-id ipsec-policy 192.168.1.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.0.0/24
    Router(config)# ppp profile ppp-profile
    Router(config-ppp-ppp-profile)# authentication myname user-b@example.com
    Router(config-ppp-ppp-profile)# authentication password user-b@example.com ppp-password-b
    Router(config-ppp-ppp-profile)# exit
    Router(config)# interface GigaEthernet2.0
    Router(config-GigaEthernet2.0)# ip address 192.168.1.254/24
    Router(config-GigaEthernet2.0)# no shutdown
    Router(config-GigaEthernet2.0)# exit
    Router(config)# interface GigaEthernet0.1
    Router(config-GigaEthernet0.1)# encapsulation pppoe
    Router(config-GigaEthernet0.1)# ppp binding ppp-profile
    Router(config-GigaEthernet0.1)# ip address ipcp
    Router(config-GigaEthernet0.1)# no shutdown
    Router(config-GigaEthernet0.1)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

### 4.2.2. 解説

#### 4.2.2.1. 本装置(A)の解説

    ip route default GigaEthernet0.1
    ip route 192.168.1.0/24 Tunnel0.0

デフォルトルートをPPPoEインタフェースに設定します。
IPsec接続先をトンネルインタフェースに設定します。

    ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    ike policy ike-policy peer any key psk mode aggressive ike-proposal

ISAKMP SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` 、DHグループ `15` と指定しています。
また、IKEのネゴシエーションをする対向装置のIPアドレスと事前共有鍵を設定します。
対向装置が動的IPアドレスの場合は、"any"を指定します。
アグレッシブモードの場合は、"mode aggressive"と設定します。

    ike commit-bit ike-policy

IKEアグレッシブモードにてコミットビットを使用します。

    ike remote-id ike-policy keyid ike-id

IKEフェーズ1で接続を許可するIDを設定します。
対向装置と同じIDを設定します。

    ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    ipsec dynamic-map ipsec-policy ipv4 ipsec-proposal ike ike-policy

IPsec SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` と指定しています。
対向装置が動的IPアドレスの場合、ダイナミックマップを使用します。

    ipsec commit-bit ipsec-policy

IPsecフェーズ2でもコミットビットを使用します。

    ipsec local-id ipsec-policy 192.168.0.0/24
    ipsec remote-id ipsec-policy 192.168.1.0/24

IPsecフェーズ2のID設定です。
IPsecで接続する対向装置とIDが対になるように設定します。

    interface Tunnel0.0
      tunnel mode ipsec
      ipsec policy tunnel ipsec-policy

トンネルモードをIPsecに設定します。
トンネルインタフェースにIPsecのポリシー名を関連付けます。

    interface Tunnel0.0
      ip unnumbered GigaEthernet2.0

トンネルインタフェースのIPアドレス設定です。
"ip unnumbered"コマンドにより、LAN側インタフェース : `GE2.0` のIPアドレスと共有することができます。

    interface Tunnel0.0
      ip tcp adjust-mss auto

トンネルインタフェースを通るTCPパケットのMSS値をトンネルインタフェースのMTU長以下に自動調整します。

#### 4.2.2.2. 本装置(B)の解説

    ike suppress-dangling

ダングリングSA抑止機能を有効にします。

    ike keepalive ike-policy 10 3

IKEキープアライブの設定です。
デフォルト10秒間隔でキープアライブを送信し、3回連続で応答を受信しなかった場合にSAを削除します。

    ike local-id ike-policy keyid ike-id

IKEフェーズ1で送信するIDを設定します。
対向装置と同じIDを設定します。

## 4.3. アグレッシブモードによる複数対地インターネットVPN(IKEv1)

PPPoE接続による複数対地インターネットVPN接続設定例です。
IPsec IKEv1のアグレッシブモードで接続します。
センター経由でインターネット通信ができるように、センタールーター本装置(A)にNAPTを設定します。
また、ログ取得設定やDHCPサーバー設定など実用的な機能もあわせて設定します。

### 4.3.1. 設定

#### 4.3.1.1. 本装置(A)の設定

    Router# configure
    Router(config)# hostname Center
    Center(config)# syslog enable
    Center(config)# syslog function all warn
    Center(config)# ip route default GigaEthernet0.1
    Center(config)# ip route 192.168.1.0/24 Tunnel1.0
    Center(config)# ip route 192.168.2.0/24 Tunnel2.0
    Center(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Center(config)# ike policy ike-policy-b peer any key psk mode aggressive ike-proposal
    Center(config)# ike commit-bit ike-policy-b
    Center(config)# ike remote-id ike-policy-b keyid ike-id-b
    Center(config)# ike policy ike-policy-c peer any key psk mode aggressive ike-proposal
    Center(config)# ike commit-bit ike-policy-c
    Center(config)# ike remote-id ike-policy-c keyid ike-id-c
    Center(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Center(config)# ipsec dynamic-map ipsec-policy-b ipv4 ipsec-proposal ike ike-policy-b
    Center(config)# ipsec commit-bit ipsec-policy-b
    Center(config)# ipsec local-id ipsec-policy-b 192.168.0.0/24
    Center(config)# ipsec remote-id ipsec-policy-b 192.168.1.0/24
    Center(config)# ipsec dynamic-map ipsec-policy-c ipv4 ipsec-proposal ike ike-policy-c
    Center(config)# ipsec commit-bit ipsec-policy-c
    Center(config)# ipsec local-id ipsec-policy-c 192.168.0.0/24
    Center(config)# ipsec remote-id ipsec-policy-c 192.168.2.0/24
    Center(config)# proxy-dns server 198.51.100.1 priority 110
    Center(config)# proxy-dns server 198.51.100.2 priority 90
    Center(config)# ppp profile ppp-profile
    Center(config-ppp-ppp-profile)# authentication myname user-a@example.com
    Center(config-ppp-ppp-profile)# authentication password user-a@example.com ppp-password-a
    Center(config-ppp-ppp-profile)# exit
    Center(config)# ip dhcp profile dhcp-profile
    Center(config-dhcp-dhcp-profile)# dns-server 192.168.0.254
    Center(config-dhcp-dhcp-profile)# exit
    Center(config)# interface GigaEthernet2.0
    Center(config-GigaEthernet2.0)# ip address 192.168.0.254/24
    Center(config-GigaEthernet2.0)# ip dhcp enable
    Center(config-GigaEthernet2.0)# ip dhcp binding dhcp-profile
    Center(config-GigaEthernet2.0)# proxy-dns ip enable
    Center(config-GigaEthernet2.0)# no shutdown
    Center(config-GigaEthernet2.0)# exit
    Center(config)# interface GigaEthernet0.1
    Center(config-GigaEthernet0.1)# encapsulation pppoe
    Center(config-GigaEthernet0.1)# ppp binding ppp-profile
    Center(config-GigaEthernet0.1)# ip address 203.0.113.1/32
    Center(config-GigaEthernet0.1)# ip napt enable
    Center(config-GigaEthernet0.1)# ip napt static GigaEthernet0.1 udp 500
    Center(config-GigaEthernet0.1)# ip napt static GigaEthernet0.1 50
    Center(config-GigaEthernet0.1)# no shutdown
    Center(config-GigaEthernet0.1)# exit
    Center(config)# interface Tunnel1.0
    Center(config-Tunnel1.0)# tunnel mode ipsec
    Center(config-Tunnel1.0)# ip unnumbered GigaEthernet2.0
    Center(config-Tunnel1.0)# ip tcp adjust-mss auto
    Center(config-Tunnel1.0)# ipsec policy tunnel ipsec-policy-b
    Center(config-Tunnel1.0)# proxy-dns ip enable
    Center(config-Tunnel1.0)# no shutdown
    Center(config-Tunnel1.0)# exit
    Center(config)# interface Tunnel2.0
    Center(config-Tunnel2.0)# tunnel mode ipsec
    Center(config-Tunnel2.0)# ip unnumbered GigaEthernet2.0
    Center(config-Tunnel2.0)# ip tcp adjust-mss auto
    Center(config-Tunnel2.0)# ipsec policy tunnel ipsec-policy-c
    Center(config-Tunnel2.0)# proxy-dns ip enable
    Center(config-Tunnel2.0)# no shutdown
    Center(config-Tunnel2.0)# exit
    Center(config)#

#### 4.3.1.2. 本装置(B)の設定

    Router# configure
    Router(config)# hostname Site1
    Site1(config)# syslog enable
    Site1(config)# syslog function all warn
    Site1(config)# ip route default Tunnel0.0
    Site1(config)# ip route 203.0.113.1/32 GigaEthernet0.1
    Site1(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Site1(config)# ike suppress-dangling
    Site1(config)# ike policy ike-policy peer 203.0.113.1 key psk mode aggressive ike-proposal
    Site1(config)# ike keepalive ike-policy 10 3
    Site1(config)# ike local-id ike-policy keyid ike-id-b
    Site1(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Site1(config)# ipsec autokey-map ipsec-policy ipv4 peer 203.0.113.1 ipsec-proposal
    Site1(config)# ipsec local-id ipsec-policy 192.168.1.0/24
    Site1(config)# ipsec remote-id ipsec-policy 192.168.0.0/24
    Site1(config)# ppp profile ppp-profile
    Site1(config-ppp-ppp-profile)# authentication myname user-b@example.com
    Site1(config-ppp-ppp-profile)# authentication password user-b@example.com ppp-password-b
    Site1(config-ppp-ppp-profile)# exit
    Site1(config)# ip dhcp profile dhcp-profile
    Site1(config-dhcp-dhcp-profile)# dns-server 192.168.0.254
    Site1(config-dhcp-dhcp-profile)# exit
    Site1(config)# interface GigaEthernet2.0
    Site1(config-GigaEthernet2.0)# ip address 192.168.1.254/24
    Site1(config-GigaEthernet2.0)# ip dhcp enable
    Site1(config-GigaEthernet2.0)# ip dhcp binding dhcp-profile
    Site1(config-GigaEthernet2.0)# no shutdown
    Site1(config-GigaEthernet2.0)# exit
    Site1(config)# interface GigaEthernet0.1
    Site1(config-GigaEthernet0.1)# encapsulation pppoe
    Site1(config-GigaEthernet0.1)# ppp binding ppp-profile
    Site1(config-GigaEthernet0.1)# ip address ipcp
    Site1(config-GigaEthernet0.1)# no shutdown
    Site1(config-GigaEthernet0.1)# exit
    Site1(config)# interface Tunnel0.0
    Site1(config-Tunnel0.0)# tunnel mode ipsec
    Site1(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Site1(config-Tunnel0.0)# ip tcp adjust-mss auto
    Site1(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Site1(config-Tunnel0.0)# no shutdown
    Site1(config-Tunnel0.0)# exit
    Site1(config)#

#### 4.3.1.3. 本装置(C)の設定

    Router# configure
    Router(config)# hostname Site2
    Site2(config)# syslog enable
    Site2(config)# syslog function all warn
    Site2(config)# ip route default Tunnel0.0
    Site2(config)# ip route 203.0.113.1/32 GigaEthernet0.1
    Site2(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Site2(config)# ike suppress-dangling
    Site2(config)# ike policy ike-policy peer 203.0.113.1 key psk mode aggressive ike-proposal
    Site2(config)# ike keepalive ike-policy 10 3
    Site2(config)# ike local-id ike-policy keyid ike-id-c
    Site2(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Site2(config)# ipsec autokey-map ipsec-policy ipv4 peer 203.0.113.1 ipsec-proposal
    Site2(config)# ipsec local-id ipsec-policy 192.168.2.0/24
    Site2(config)# ipsec remote-id ipsec-policy 192.168.0.0/24
    Site2(config)# ppp profile ppp-profile
    Site2(config-ppp-ppp-profile)# authentication myname user-c@example.com
    Site2(config-ppp-ppp-profile)# authentication password user-c@example.com ppp-password-c
    Site2(config-ppp-ppp-profile)# exit
    Site2(config)# ip dhcp profile dhcp-profile
    Site2(config-dhcp-dhcp-profile)# dns-server 192.168.0.254
    Site2(config-dhcp-dhcp-profile)# exit
    Site2(config)# interface GigaEthernet2.0
    Site2(config-GigaEthernet2.0)# ip address 192.168.2.254/24
    Site2(config-GigaEthernet2.0)# ip dhcp enable
    Site2(config-GigaEthernet2.0)# ip dhcp binding dhcp-profile
    Site2(config-GigaEthernet2.0)# no shutdown
    Site2(config-GigaEthernet2.0)# exit
    Site2(config)# interface GigaEthernet0.1
    Site2(config-GigaEthernet0.1)# encapsulation pppoe
    Site2(config-GigaEthernet0.1)# ppp binding ppp-profile
    Site2(config-GigaEthernet0.1)# ip address ipcp
    Site2(config-GigaEthernet0.1)# no shutdown
    Site2(config-GigaEthernet0.1)# exit
    Site2(config)# interface Tunnel0.0
    Site2(config-Tunnel0.0)# tunnel mode ipsec
    Site2(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Site2(config-Tunnel0.0)# ip tcp adjust-mss auto
    Site2(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Site2(config-Tunnel0.0)# no shutdown
    Site2(config-Tunnel0.0)# exit
    Site2(config)#

### 4.3.2. 解説

#### 4.3.2.1. 本装置(A)の解説

    ip route default GigaEthernet0.1
    ip route 192.168.1.0/24 Tunnel1.0
    ip route 192.168.2.0/24 Tunnel2.0

デフォルトルートをPPPoEインタフェースに設定します。
IPsec接続先をトンネルインタフェースに設定します。

    ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    ike policy ike-policy-b peer any key psk mode aggressive ike-proposal
    ike policy ike-policy-c peer any key psk mode aggressive ike-proposal

ISAKMP SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` 、DHグループ `15` と指定しています。
また、IKEのネゴシエーションをする対向装置のIPアドレスと事前共有鍵を設定します。
対向装置が動的IPアドレスの場合は、"any"を指定します。
アグレッシブモードの場合は、"mode aggressive"と設定します。

    ike commit-bit ike-policy-b
    ike commit-bit ike-policy-c

IKEアグレッシブモードにてコミットビットを使用します。

    ike remote-id ike-policy-b keyid ike-id-b
    ike remote-id ike-policy-c keyid ike-id-c

IKEフェーズ1で接続を許可するIDを設定します。
対向装置と同じIDを設定します。

    ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    ipsec dynamic-map ipsec-policy-b ipv4 ipsec-proposal ike ike-policy-b
    ipsec dynamic-map ipsec-policy-c ipv4 ipsec-proposal ike ike-policy-c

IPsec SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` と指定しています。
対向装置が動的IPアドレスの場合、ダイナミックマップを使用します。

    ipsec commit-bit ipsec-policy-b
    ipsec commit-bit ipsec-policy-c

IPsecフェーズ2でもコミットビットを使用します。

    ipsec local-id ipsec-policy-b 192.168.0.0/24
    ipsec remote-id ipsec-policy-b 192.168.1.0/24
    ipsec local-id ipsec-policy-c 192.168.0.0/24
    ipsec remote-id ipsec-policy-c 192.168.2.0/24

IPsecフェーズ2のID設定です。
IPsecで接続する対向装置とIDが対になるように設定します。

    interface Tunnel1.0
      tunnel mode ipsec
      ipsec policy tunnel ipsec-policy-b
    interface Tunnel2.0
      tunnel mode ipsec
      ipsec policy tunnel ipsec-policy-c

トンネルモードをIPsecに設定します。
トンネルインタフェースにIPsecのポリシー名を関連付けます。

    interface Tunnel1.0
      ip unnumbered GigaEthernet2.0

トンネルインタフェースのIPアドレス設定です。
"ip unnumbered"コマンドにより、LAN側インタフェース : `GE2.0` のIPアドレスと共有することができます。

    interface Tunnel1.0
      ip tcp adjust-mss auto

トンネルインタフェースを通るTCPパケットのMSS値をトンネルインタフェースのMTU長以下に自動調整します。

    proxy-dns server 198.51.100.1 priority 110
    proxy-dns server 198.51.100.2 priority 90
    interface GigaEthernet2.0
      proxy-dns ip enable
    interface Tunnel1.0
      proxy-dns ip enable
    interface Tunnel2.0
      proxy-dns ip enable

プロキシDNSの設定です。
DNSサーバーを複数設定する場合は、優先度に差を付けて設定することを推奨します。
デフォルトの優先度は100です。
プロキシDNSの有効化設定は、インタフェースに設定します。
対向先からもDNS解決ができるようにトンネルインタフェースにもプロキシDNSを有効化します。

    syslog enable
    syslog function all warn

ログ取得(取得する機能 : `all` 、取得レベル : `warn` )の設定です。

    ip dhcp profile dhcp-profile
      dns-server 192.168.0.254
    interface GigaEthernet2.0
      ip dhcp enable
      ip dhcp binding dhcp-profile

DHCPプロファイルの設定です。
プロキシDNS機能を使用するため、端末に通知するDNSサーバーのIPアドレス : `192.168.0.254` を設定します。
DHCPサーバー機能有効化設定とDHCPプロファイルの関連付けします。

    interface GigaEthernet0.1
      ip napt enable
      ip napt static GigaEthernet0.1 udp 500
      ip napt static GigaEthernet0.1 50

プライベートIPアドレスをグローバルIPアドレスに変換するため、NAPTを有効化します。
対向装置からIPsecの接続が開始されるため、IKEパケット(UDP/500)とESPパケット(プロトコル番号:50)をWAN側インタフェースに転送する静的NAPTの設定します。

#### 4.3.2.2. 本装置(B)の解説

    ip route default Tunnel0.0

デフォルトルートをトンネルインタフェースに設定します。
これにより拠点2宛てやインターネット通信も全てセンター経由で通信します。

    ike suppress-dangling

ダングリングSA抑止機能を有効にします。

    ike keepalive ike-policy 10 3

IKEキープアライブの設定です。
デフォルト10秒間隔でキープアライブを送信し、3回連続で応答を受信しなかった場合にSAを削除します。

    ike local-id ike-policy keyid ike-id-b

IKEフェーズ1で送信するIDを設定します。
対向装置と同じIDを設定します。

#### 4.3.2.3. 本装置(C)の解説

本装置(A)、本装置(B)と同様の考え方で設定します。

## 4.4. ダイナミックDNSを使用したインターネットVPN(IKEv1)

PPPoE接続によるインターネットVPN接続設定例です。
NetMeisterのダイナミックDNSを利用してIPsec IKEv1のメインモードで接続します。
グループIDとグループパスワードは、事前に以下の内容でNetMeisterに登録済みとします。

### 4.4.1. 設定

#### 4.4.1.1. 本装置(A)の設定

    Router# configure
    Router(config)# hostname IX-R2520-A
    IX-R2520-A(config)# ip route default GigaEthernet0.1
    IX-R2520-A(config)# ip route 192.168.1.0/24 Tunnel0.0
    IX-R2520-A(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    IX-R2520-A(config)# ike policy ike-policy peer-fqdn-ipv4 ix-r2520-b.sample-group.nmddns.jp key psk ike-proposal
    IX-R2520-A(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    IX-R2520-A(config)# ipsec autokey-map ipsec-policy ipv4 peer-fqdn-ipv4 ix-r2520-b.sample-group.nmddns.jp ipsec-proposal
    IX-R2520-A(config)# ipsec local-id ipsec-policy 192.168.0.0/24
    IX-R2520-A(config)# ipsec remote-id ipsec-policy 192.168.1.0/24
    IX-R2520-A(config)# nm ip enable
    IX-R2520-A(config)# nm account sample-group password plain sample-password
    IX-R2520-A(config)# nm sitename tokyo
    IX-R2520-A(config)# ppp profile ppp-profile
    IX-R2520-A(config-ppp-ppp-profile)# authentication myname user-a@example.com
    IX-R2520-A(config-ppp-ppp-profile)# authentication password user-a@example.com ppp-password-a
    IX-R2520-A(config-ppp-ppp-profile)# exit
    IX-R2520-A(config)# interface GigaEthernet2.0
    IX-R2520-A(config-GigaEthernet2.0)# ip address 192.168.0.254/24
    IX-R2520-A(config-GigaEthernet2.0)# no shutdown
    IX-R2520-A(config-GigaEthernet2.0)# exit
    IX-R2520-A(config)# interface GigaEthernet0.1
    IX-R2520-A(config-GigaEthernet0.1)# encapsulation pppoe
    IX-R2520-A(config-GigaEthernet0.1)# ppp binding ppp-profile
    IX-R2520-A(config-GigaEthernet0.1)# ip address ipcp
    IX-R2520-A(config-GigaEthernet0.1)# no shutdown
    IX-R2520-A(config-GigaEthernet0.1)# exit
    IX-R2520-A(config)# interface Tunnel0.0
    IX-R2520-A(config-Tunnel0.0)# tunnel mode ipsec
    IX-R2520-A(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    IX-R2520-A(config-Tunnel0.0)# ip tcp adjust-mss auto
    IX-R2520-A(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    IX-R2520-A(config-Tunnel0.0)# no shutdown
    IX-R2520-A(config-Tunnel0.0)# exit
    IX-R2520-A(config)#

#### 4.4.1.2. 本装置(B)の設定

    Router# configure
    Router(config)# hostname IX-R2520-B
    IX-R2520-B(config)# ip route default GigaEthernet0.1
    IX-R2520-B(config)# ip route 192.168.0.0/24 Tunnel0.0
    IX-R2520-B(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    IX-R2520-B(config)# ike policy ike-policy peer-fqdn-ipv4 ix-r2520-a.sample-group.nmddns.jp key psk ike-proposal
    IX-R2520-B(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    IX-R2520-B(config)# ipsec autokey-map ipsec-policy ipv4 peer-fqdn-ipv4 ix-r2520-a.sample-group.nmddns.jp ipsec-proposal
    IX-R2520-B(config)# ipsec local-id ipsec-policy 192.168.1.0/24
    IX-R2520-B(config)# ipsec remote-id ipsec-policy 192.168.0.0/24
    IX-R2520-B(config)# nm ip enable
    IX-R2520-B(config)# nm account sample-group password plain sample-password
    IX-R2520-B(config)# nm sitename osaka
    IX-R2520-B(config)# ppp profile ppp-profile
    IX-R2520-B(config-ppp-ppp-profile)# authentication myname user-b@example.com
    IX-R2520-B(config-ppp-ppp-profile)# authentication password user-b@example.com ppp-password-b
    IX-R2520-B(config-ppp-ppp-profile)# exit
    IX-R2520-B(config)# interface GigaEthernet2.0
    IX-R2520-B(config-GigaEthernet2.0)# ip address 192.168.1.254/24
    IX-R2520-B(config-GigaEthernet2.0)# no shutdown
    IX-R2520-B(config-GigaEthernet2.0)# exit
    IX-R2520-B(config)# interface GigaEthernet0.1
    IX-R2520-B(config-GigaEthernet0.1)# encapsulation pppoe
    IX-R2520-B(config-GigaEthernet0.1)# ppp binding ppp-profile
    IX-R2520-B(config-GigaEthernet0.1)# ip address ipcp
    IX-R2520-B(config-GigaEthernet0.1)# no shutdown
    IX-R2520-B(config-GigaEthernet0.1)# exit
    IX-R2520-B(config)# interface Tunnel0.0
    IX-R2520-B(config-Tunnel0.0)# tunnel mode ipsec
    IX-R2520-B(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    IX-R2520-B(config-Tunnel0.0)# ip tcp adjust-mss auto
    IX-R2520-B(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    IX-R2520-B(config-Tunnel0.0)# no shutdown
    IX-R2520-B(config-Tunnel0.0)# exit
    IX-R2520-B(config)#

### 4.4.2. 解説

#### 4.4.2.1. 本装置(A)の解説

    hostname IX-R2520-A

ホスト名 : `IX-R2520-A` を設定します。
ホスト名は、NetMeister上で装置名として表示されます。
NetMeisterダイナミックDNSサービスのドメインの一部となります。

    ip route default GigaEthernet0.1
    ip route 192.168.1.0/24 Tunnel0.0

デフォルトルートをPPPoEインタフェースに設定します。
IPsec接続先をトンネルインタフェースに設定します。

    ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    ike policy ike-policy peer-fqdn-ipv4 ix-r2520-b.sample-group.nmddns.jp key psk ike-proposal

ISAKMP SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` 、DHグループ `15` と指定しています。
また、IKEのネゴシエーションをする対向装置のFQDNと事前共有鍵の設定します。

    ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    ipsec autokey-map ipsec-policy ipv4 peer-fqdn-ipv4 ix-r2520-b.sample-group.nmddns.jp ipsec-proposal

IPsec SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` と指定しています。
また、対向装置のFQDNを設定します。

    ipsec local-id ipsec-policy 192.168.0.0/24
    ipsec remote-id ipsec-policy 192.168.1.0/24

IPsecフェーズ2のID設定です。
IPsecで接続する対向装置とIDが対になるように設定します。

    nm ip enable

NetMeisterクライアント機能を有効化します。

    nm account sample-group password plain sample-password

NetMeisterで登録したグループID : `sample-group` とパスワード : `sample-password` を設定します。

    nm sitename tokyo

NetMeisterで登録する拠点ID : `tokyo` を設定します。
本設定を省略した場合、ホスト名が拠点IDとして設定されます。

    interface Tunnel0.0
      tunnel mode ipsec
      ipsec policy tunnel ipsec-policy

トンネルモードをIPsecに設定します。
トンネルインタフェースにIPsecのポリシー名を関連付けます。

    interface Tunnel0.0
      ip unnumbered GigaEthernet2.0

トンネルインタフェースのIPアドレス設定です。
"ip unnumbered"コマンドにより、LAN側インタフェース : `GE2.0` のIPアドレスと共有することができます。

    interface Tunnel0.0
      ip tcp adjust-mss auto

トンネルインタフェースを通るTCPパケットのMSS値をトンネルインタフェースのMTU長以下に自動調整します。

#### 4.4.2.2. 本装置(B)の解説

本装置(A)と同様の考え方で設定します。

## 4.5. NAT装置配下によるインターネットVPN(IKEv1)

PPPoE接続によるインターネットVPN接続設定例です。
NATトラバーサル機能を使用してIPsec IKEv1のアグレッシブモードで接続します。

### 4.5.1. 設定

#### 4.5.1.1. 本装置(A)の設定

    Router# configure
    Router(config)# ip route default GigaEthernet0.1
    Router(config)# ip route 192.168.1.0/24 Tunnel0.0
    Router(config)# ike nat-traversal
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike policy ike-policy peer any key psk mode aggressive ike-proposal
    Router(config)# ike commit-bit ike-policy
    Router(config)# ike remote-id ike-policy keyid ike-id
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec dynamic-map ipsec-policy ipv4 ipsec-proposal ike ike-policy
    Router(config)# ipsec commit-bit ipsec-policy
    Router(config)# ipsec local-id ipsec-policy 192.168.0.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.1.0/24
    Router(config)# ppp profile ppp-profile
    Router(config-ppp-ppp-profile)# authentication myname user-a@example.com
    Router(config-ppp-ppp-profile)# authentication password user-a@example.com ppp-password-a
    Router(config-ppp-ppp-profile)# exit
    Router(config)# interface GigaEthernet2.0
    Router(config-GigaEthernet2.0)# ip address 192.168.0.254/24
    Router(config-GigaEthernet2.0)# no shutdown
    Router(config-GigaEthernet2.0)# exit
    Router(config)# interface GigaEthernet0.1
    Router(config-GigaEthernet0.1)# encapsulation pppoe
    Router(config-GigaEthernet0.1)# ppp binding ppp-profile
    Router(config-GigaEthernet0.1)# ip address 203.0.113.1/32
    Router(config-GigaEthernet0.1)# no shutdown
    Router(config-GigaEthernet0.1)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

#### 4.5.1.2. 本装置(B)の設定

    Router# configure
    Router(config)# ip route default 172.16.1.254
    Router(config)# ip route 192.168.0.0/24 Tunnel0.0
    Router(config)# ike nat-traversal
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike suppress-dangling
    Router(config)# ike policy ike-policy peer 203.0.113.1 key psk mode aggressive ike-proposal
    Router(config)# ike keepalive ike-policy 10 3
    Router(config)# ike local-id ike-policy keyid ike-id
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec autokey-map ipsec-policy ipv4 peer 203.0.113.1 ipsec-proposal
    Router(config)# ipsec local-id ipsec-policy 192.168.1.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.0.0/24
    Router(config)# interface GigaEthernet0.0
    Router(config-GigaEthernet0.0)# ip address 172.16.1.1/24
    Router(config-GigaEthernet0.0)# no shutdown
    Router(config-GigaEthernet0.0)# exit
    Router(config)# interface GigaEthernet2.0
    Router(config-GigaEthernet2.0)# ip address 192.168.1.254/24
    Router(config-GigaEthernet2.0)# no shutdown
    Router(config-GigaEthernet2.0)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

### 4.5.2. 解説

#### 4.5.2.1. 本装置(A)の解説

    ip route default GigaEthernet0.1
    ip route 192.168.1.0/24 Tunnel0.0

デフォルトルートをPPPoEインタフェースに設定します。
IPsec接続先をトンネルインタフェースに設定します。

    ike nat-traversal

NATトラバーサル機能を有効化します。
ポリシー名を省略すると全てのIKEポリシーでNATトラバーサルが有効になります。

    ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    ike policy ike-policy peer any key psk mode aggressive ike-proposal

ISAKMP SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` 、DHグループ `15` と指定しています。
また、IKEのネゴシエーションをする対向装置のIPアドレスと事前共有鍵を設定します。
対向装置が動的IPアドレスの場合は、"any"を指定します。
アグレッシブモードの場合は、"mode aggressive"と設定します。

    ike commit-bit ike-policy

IKEアグレッシブモードにてコミットビットを使用します。

    ike remote-id ike-policy keyid ike-id

IKEフェーズ1で接続を許可するIDを設定します。
対向装置と同じIDを設定します。

    ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    ipsec dynamic-map ipsec-policy ipv4 ipsec-proposal ike ike-policy

IPsec SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` と指定しています。
対向装置が動的IPアドレスの場合、ダイナミックマップを使用します。

    ipsec commit-bit ipsec-policy

IPsecフェーズ2でもコミットビットを使用します。

    ipsec local-id ipsec-policy 192.168.0.0/24
    ipsec remote-id ipsec-policy 192.168.1.0/24

IPsecフェーズ2のID設定です。
IPsecで接続する対向装置とIDが対になるように設定します。

    interface Tunnel0.0
      tunnel mode ipsec
      ipsec policy tunnel ipsec-policy

トンネルモードをIPsecに設定します。
トンネルインタフェースにIPsecのポリシー名を関連付けます。

    interface Tunnel0.0
      ip unnumbered GigaEthernet2.0

トンネルインタフェースのIPアドレス設定です。
"ip unnumbered"コマンドにより、LAN側インタフェース : `GE2.0` のIPアドレスと共有することができます。

    interface Tunnel0.0
      ip tcp adjust-mss auto

トンネルインタフェースを通るTCPパケットのMSS値をトンネルインタフェースのMTU長以下に自動調整します。

#### 4.5.2.2. 本装置(B)の解説

    ike suppress-dangling

ダングリングSA抑止機能を有効にします。

    ike keepalive ike-policy 10 3

IKEキープアライブの設定です。
デフォルト10秒間隔でキープアライブを送信し、3回連続で応答を受信しなかった場合にSAを削除します。

    ike local-id ike-policy keyid ike-id

IKEフェーズ1で送信するIDを設定します。
対向装置と同じIDを設定します。

## 4.6. アグレッシブモードによるモバイル接続を使用したインターネットVPN(IKEv1)

拠点側がモバイル接続のインターネットVPN接続設定例です。
IPsec IKEv1のアグレッシブモードで接続します。

### 4.6.1. 設定

#### 4.6.1.1. 本装置(A)の設定

    Router# configure
    Router(config)# ip route default GigaEthernet0.1
    Router(config)# ip route 192.168.1.0/24 Tunnel0.0
    Router(config)# ike nat-traversal
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike policy ike-policy peer any key psk mode aggressive ike-proposal
    Router(config)# ike commit-bit ike-policy
    Router(config)# ike remote-id ike-policy keyid ike-id
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec dynamic-map ipsec-policy ipv4 ipsec-proposal ike ike-policy
    Router(config)# ipsec commit-bit ipsec-policy
    Router(config)# ipsec local-id ipsec-policy 192.168.0.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.1.0/24
    Router(config)# ppp profile ppp-profile
    Router(config-ppp-ppp-profile)# authentication myname user-a@example.com
    Router(config-ppp-ppp-profile)# authentication password user-a@example.com ppp-password-a
    Router(config-ppp-ppp-profile)# exit
    Router(config)# interface GigaEthernet2.0
    Router(config-GigaEthernet2.0)# ip address 192.168.0.254/24
    Router(config-GigaEthernet2.0)# no shutdown
    Router(config-GigaEthernet2.0)# exit
    Router(config)# interface GigaEthernet0.1
    Router(config-GigaEthernet0.1)# encapsulation pppoe
    Router(config-GigaEthernet0.1)# ppp binding ppp-profile
    Router(config-GigaEthernet0.1)# ip address 203.0.113.1/32
    Router(config-GigaEthernet0.1)# no shutdown
    Router(config-GigaEthernet0.1)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet2.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

#### 4.6.1.2. 本装置(B)の設定

    Router# configure
    Router(config)# ip route 203.0.113.1/32 MobileEthernet1.0
    Router(config)# ip route 192.168.0.0/24 Tunnel0.0
    Router(config)# ike nat-traversal
    Router(config)# ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    Router(config)# ike suppress-dangling
    Router(config)# ike policy ike-policy peer 203.0.113.1 key psk mode aggressive ike-proposal
    Router(config)# ike keepalive ike-policy 10 3
    Router(config)# ike local-id ike-policy keyid ike-id
    Router(config)# ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    Router(config)# ipsec autokey-map ipsec-policy ipv4 peer 203.0.113.1 ipsec-proposal
    Router(config)# ipsec local-id ipsec-policy 192.168.1.0/24
    Router(config)# ipsec remote-id ipsec-policy 192.168.0.0/24
    Router(config)# device Module1
    Router(config-Module1)# no shutdown
    Router(config-Module1)# exit
    Router(config)# interface GigaEthernet1.0
    Router(config-GigaEthernet1.0)# ip address 192.168.1.254/24
    Router(config-GigaEthernet1.0)# no shutdown
    Router(config-GigaEthernet1.0)# exit
    Router(config)# interface MobileEthernet1.0
    Router(config-MobileEthernet1.0)# auto-connect
    Router(config-MobileEthernet1.0)# ip address dhcp
    Router(config-MobileEthernet1.0)# mobile id ip example.com
    Router(config-MobileEthernet1.0)# mobile username test-user
    Router(config-MobileEthernet1.0)# mobile password plain test-password
    Router(config-MobileEthernet1.0)# no shutdown
    Router(config-MobileEthernet1.0)# exit
    Router(config)# interface Tunnel0.0
    Router(config-Tunnel0.0)# tunnel mode ipsec
    Router(config-Tunnel0.0)# ip unnumbered GigaEthernet1.0
    Router(config-Tunnel0.0)# ip tcp adjust-mss auto
    Router(config-Tunnel0.0)# ipsec policy tunnel ipsec-policy
    Router(config-Tunnel0.0)# no shutdown
    Router(config-Tunnel0.0)# exit
    Router(config)#

### 4.6.2. 解説

#### 4.6.2.1. 本装置(A)の解説

    ip route default GigaEthernet0.1
    ip route 192.168.1.0/24 Tunnel0.0

デフォルトルートをPPPoEインタフェースに設定します。
IPsec接続先をトンネルインタフェースに設定します。

    ike nat-traversal

NATトラバーサル機能を有効化します。
ポリシー名を省略すると全てのIKEポリシーでNATトラバーサルが有効になります。
モバイル通信網ではモバイル通信事業者のネットワーク内でアドレス変換される場合があるため、モバイル通信網を経由したIPsec接続はNATトラバーサルを使用します。

    ike proposal ike-proposal encryption aes-256 hash sha2-512 group 3072-bit
    ike policy ike-policy peer any key psk mode aggressive ike-proposal

ISAKMP SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` 、DHグループ `15` と指定しています。
また、IKEのネゴシエーションをする対向装置のIPアドレスと事前共有鍵を設定します。
対向装置が動的IPアドレスの場合は、"any"を指定します。
アグレッシブモードの場合は、"mode aggressive"と設定します。

    ike commit-bit ike-policy

IKEアグレッシブモードにてコミットビットを使用します。

    ike remote-id ike-policy keyid ike-id

IKEフェーズ1で接続を許可するIDを設定します。
対向装置と同じIDを設定します。

    ipsec autokey-proposal ipsec-proposal esp-aes-256 esp-sha2-512
    ipsec dynamic-map ipsec-policy ipv4 ipsec-proposal ike ike-policy

IPsec SA確立に使用するプロポーザルを指定します。
本例では、暗号アルゴリズムを `AES-256bit` 、認証アルゴリズムを `SHA2-512` と指定しています。
対向装置が動的IPアドレスの場合、ダイナミックマップを使用します。

    ipsec commit-bit ipsec-policy

IPsecフェーズ2でもコミットビットを使用します。

    ipsec local-id ipsec-policy 192.168.0.0/24
    ipsec remote-id ipsec-policy 192.168.1.0/24

IPsecフェーズ2のID設定です。
IPsecで接続する対向装置とIDが対になるように設定します。

    interface Tunnel0.0
      tunnel mode ipsec
      ipsec policy tunnel ipsec-policy

トンネルモードをIPsecに設定します。
トンネルインタフェースにIPsecのポリシー名を関連付けます。

    interface Tunnel0.0
      ip unnumbered GigaEthernet2.0

トンネルインタフェースのIPアドレス設定です。
"ip unnumbered"コマンドにより、LAN側インタフェース : `GE2.0` のIPアドレスと共有することができます。

    interface Tunnel0.0
      ip tcp adjust-mss auto

トンネルインタフェースを通るTCPパケットのMSS値をトンネルインタフェースのMTU長以下に自動調整します。

#### 4.6.2.2. 本装置(B)の解説

    ip route default MobileEthernet1.0
    ip route 192.168.0.0/24 Tunnel0.0

デフォルトルートをモバイルインタフェースに設定します。
IPsec接続先をトンネルインタフェースに設定します。

    ike suppress-dangling

ダングリングSA抑止機能を有効にします。

    ike keepalive ike-policy 10 3

IKEキープアライブの設定です。
デフォルト10秒間隔でキープアライブを送信し、3回連続で応答を受信しなかった場合にSAを削除します。

    ike local-id ike-policy keyid ike-id

IKEフェーズ1で送信するIDを設定します。
対向装置と同じIDを設定します。

    device Module1
      no shutdown

内蔵モジュールを有効化します。

    interface MobileEthernet1.0
      auto-connect

常時接続設定です。
自動でモバイル通信網に接続します。
デフォルトはオンデマンド接続("no auto-connect")設定です。

    interface MobileEthernet1.0
      ip address dhcp
      mobile id ip example.com
      mobile username test-user
      mobile password plain test-password

IPアドレスはモバイル通信網からDHCPで取得します。
モバイル通信事業者から通知された情報を設定します。