クラウド接続「Windows Azure」との接続fenics.fujitsu.com/products/manual/cloud_connection.pdfWindows Azure 側ネットワーク Windows azure 仮想ネットワークでは、172.16.0.0/12

【クラウド接続】

「Windows Azure」との接続

2013 年 10 月

目次

はじめに.............................................................................................................................. 3

ネットワーク構成................................................................................................................ 3

オンプレミス側ネットワーク .......................................................................................... 3

Windows Azure 側ネットワーク ..................................................................................... 4

Windows Azure での設定.................................................................................................... 4

仮想ネットワークの作成.................................................................................................. 4

ゲートウェイの作成......................................................................................................... 9

オンプレミス(Si-R)での設定 ............................................................................................. 11

IPsec 設定項目............................................................................................................... 11

config............................................................................................................................. 14

ether ポートの設定........................................................................................................ 16

PPPoE の設定................................................................................................................ 16

lan 側アドレスの設定 .................................................................................................... 17

IPsec の設定 .................................................................................................................. 17

IPsec 確立確認方法 ........................................................................................................... 20

はじめに

Si-R G シリーズは富士通が提供する企業向けアクセスルータです。本頁では、Si-R G100

を使用してWindows Azure 仮想ネットワークの IPsecゲートウェイと IPsec接続する設定

について解説します。

以降は Si-R G100 を使用することを前提として記述します。

ネットワーク構成

本設定例では、以下の構成について解説します。

オンプレミス側ネットワーク

項目環境情報

接続メディア ADSL/FTTH など

接続プロトコル PPPoE

WAN 固定グローバルアドレス

LAN 192.168.10.0/24

オンプレミス側ネットワークでは、Si-R で PPPoE(アドレス固定)を行います。固定のア

ドレスを使用して、Azure ネットワークに対して、IPsec 接続を動作させます。

IPsec

オンプレミス側

192.168.10.0/24

Azure 側

172.16.0.0/12

Gateway subnet

172.16.10.0/24

Windows Azure 側ネットワーク

Windows azure 仮想ネットワークでは、172.16.0.0/12 のアドレス空間の中に、1 つのサ

ブネットが存在します。

サブネット名アドレス範囲

Gateway subnet 172.16.10.0/24

オンプレミス側と Windows Azure 側での IPsec により、IPsec トンネルを介して、オンプ

レミスから Azure 側のサブネットに対して通信をすることが可能となります。

Windows Azure での設定

本章ではオンプレミス側との IPsec接続をするための Azureでの設定について説明します。

仮想ネットワークの作成

Windows Azure ポータルサイトにログインし、[ネットワークサービス]-[仮想ネットワー

ク]-[カスタム作成]の順に選択します。

仮想ネットワークの詳細

[名前],[地域],[アフィニティグループ],[アフィニティグループ名]を入力、または選択します。

既に存在するアフィニティグループを使用する場合は、[地域],[アフィニティグループ名]の

入力項目は出現しません。

設定内容設定値

名前 Azure-G100

地域東アジア

アフィニティグループ新しいアフィニティグループの作成

アフィニティグループ名 Azure-G100

DNS サーバーおよび VPN 接続

サイト間接続にチェックを入れ、[ローカルネットワーク]の項目として「新しいローカルネ

ットワークを指定する」を選択します。

DNS サーバについては設定しなくても問題はありません。


DNS サーバなし

ポイント対サイト接続なし

サイト間 VPN の構成チェック

ローカルネットワーク新しいローカルネットワークを指定する

サイト間接続

オンプレミス側の設定をします。[名前],[VPN デバイスの IP アドレス],[開始 IP],[CIDR(ア

ドレス数)]を入力します。[VPN デバイスの IP アドレス]は、Si-R の固定グローバルアドレ

スを、[開始 IP],[CIDR(アドレス数)]には、Si-R LAN 側のローカルアドレスを設定します。


名前 Si-RG100

VPN デバイスの IP アドレス Si-RWAN 側の固定グローバルアドレス

xxx.xxx.xxx.xxx

開始 IP 192.168.10.1

CIDR(アドレス数) /24(256)

仮想ネットワークアドレス空間

Windows Azure 側のアドレス空間を設定します。ゲートウェイの[開始 IP],[CIDR(アドレス

数)]を設定します。

※default 値として、サブネットが定義されています。[ゲートウェイサブネットの追加]を

押下して、ゲートウェイサブネットを追加してください。ゲートウェイサブネットがない

と、先に進めません。


開始 IP(ゲートウェイ) 172.16.10.0

CIDR(アドレス数) /24(256)

以上で、仮想ネットワークの作成が完了します。

ゲートウェイの作成

次に、VPN を張るためのゲートウェイを作成します。

ポータルの[ネットワーク]を選択し、先ほど作成したネットワーク名が存在することを確認

します。作成したネットワークを選択し、クリックします。

選択したネットワークの詳細が表示されます。このネットワークに対して、ゲートウェイ

を作成します。

[ゲートウェイの作成]-[静的ルーティング]の順にクリックします。


ゲートウェイの作成静的ルーティング

静的ルーティングをクリックすると、「ゲートウェイを作成しますか？」と聞かれるので、

「はい」をクリックします。しばらく待っていると、ゲートウェイ作成が完了した旨が表

示されます。

オンプレミス(Si-R)での設定

本章では、Windows Azure と IPsec 接続するための Si-R の設定について解説します。

IPsec 設定項目

IPsec 設定値については、以下のような内容になります。

IKE フェーズ 1

項目設定値

自側トンネルエンドポイントアドレス xxx.xxx.xxx.xxx/32(ISP より割当)

相手側トンネルエンドポイントアドレス yyy.yyy.yyy.yyy

ポータルサイトより確認

IKE 交換モード main

lan 側ローカルアドレス 192.168.10.1/24

暗号情報 aes-cbc-256

認証(ハッシュ)情報 hmac-sha256

DH グループ group 2(modp1024)

IKE SA 有効時間 8h

NAT-TRAVERSAL on

IKE セッション共有鍵ポータルサイトより確認

IKE フェーズ 2

項目設定値

IPsec 情報のセキュリティプロトコル esp

暗号情報 aes-cbc-256

認証(ハッシュ)情報 hmac-sha256

DH グループ off

IPsec SA 有効時間 1h

IPsec SA 有効パケット量 100000m

IPsec 対象範囲(送信元) 192.168.10.0/24

IPsec 対象範囲(宛先) 172.16.0.0/12

相手側トンネルエンドポイントアドレスの確認

ポータルサイトより、[ネットワーク]選択し、対象の仮想ネットワークをクリックします。

ダッシュボードに表示された[ゲートウエイ IP アドレス]が、相手側エンドポイントアドレ

スとなります。

IKE セッション共有鍵の確認

上記ダッシュボードのページより、下部中央の[キーの管理]をクリックします

共有キーの管理という枠が出てきますので、コピーします。

config

config の全体像としては以下のような内容になります。

config は大きく分けて、ether ポート定義、lan 定義、PPPoE 定義、IPsec 定義に分けられ

ます。それぞれについて順を追って説明していきます。

ether 1 1 vlan untag 1





lan 1 ip address 192.168.10.1/24 3

lan 1 vlan 2

remote 0 name PPPoE

remote 0 mtu 1454

remote 0 ap 0 name PPPoE

remote 0 ap 0 datalink bind vlan 1

remote 0 ap 0 ppp auth send id@isp pass@isp

remote 0 ap 0 keep connect

remote 0 ap 0 ike proposal 0 prf hmac-sha384

remote 0 ppp ipcp vjcomp disable

remote 0 ip address local 202.248.1.1

remote 0 ip route 0 default 1 1

remote 0 ip nat mode multi any 1 5m

remote 0 ip nat static 0 xxx.xxx.xxx.xxx 500 xxx.xxx.xxx.xxx 500 17


remote 0 ip nat static 2 xxx.xxx.xxx.xxx any xxx.xxx.xxx.xxx any 50

remote 0 ip msschange 1414

remote 1 name Azure

remote 1 ap 0 name IPSec

remote 1 ap 0 datalink type ipsec

remote 1 ap 0 ipsec type ike

remote 1 ap 0 ipsec ike protocol esp

remote 1 ap 0 ipsec ike range 192.168.10.0/24 172.16.0.0/12

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

remote 1 ap 0 ipsec ike auth hmac-sha256

remote 1 ap 0 ipsec ike lifetime 1h

remote 1 ap 0 ipsec ike lifebyte 100000m

remote 1 ap 0 ipsec extension-range 0 192.168.10.0/24 172.16.0.0/16

remote 1 ap 0 ike mode main

remote 1 ap 0 ike shared key text abcdefghijklmnopqrstuvwxyz12345

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

remote 1 ap 0 ike proposal 0 hash hmac-sha256

remote 1 ap 0 ike proposal 0 pfs modp1024

remote 1 ap 0 ike proposal 0 lifetime 8h

remote 1 ap 0 ike nat-traversal use on

remote 1 ap 0 tunnel local xxx.xxx.xxx.xxx

remote 1 ap 0 tunnel remote yyy.yyy.yyy.yyy

remote 1 ip route 0 172.16.0.0/16 1 1


ether ポートの設定

各 ether ポートに VLAN(untag)を割り当てます。これは、後の lan 定義や、PPPoE の定義

と結びつきます。

wan 側のポートに対して vlan 1 を、lan 側のポートに対して vlan 2 を設定します。

PPPoE の設定

WAN 側に PPPoE の設定をします。PPPoE の送出先として vlan 1(ether 1 1 )を指定しま

す。

項目設定値

ID(PPPoE) id@isp

PASS(PPPoE) pass@isp

グローバルアドレス xxx.xxx.xxx.xxx

mtu 値、mss 値については回線により異なります。回線側にご確認ください。

PPPoE のインタフェースに対してデフォルトルートを設定します。


ether 2 1-4 vlan untag 2

remote 0 name PPPoE

remote 0 mtu 1454

remote 0 ap 0 name PPPoE

remote 0 ap 0 datalink bind vlan 1

remote 0 ap 0 ppp auth send id@isp pass@isp

remote 0 ap 0 keep connect

remote 0 ppp ipcp vjcomp disable

remote 0 ip address local xxx.xxx.xxx.xxx


remote 0 ip route 0 default 1 1

ファイアウォールの設定

PPPoE の定義にファイアウォールの設定を追加します。

mode multi の設定により、NAPT の設定が有効になります。nat static の定義により、グ

ローバルアドレス(固定)宛ての ISAKMP,ESP,NAT-T を Si-R で受けることができるように

します。

lan 側アドレスの設定

lan 側のアドレスを 192.168.10.1/24 に設定します。この lan インタフェースは vlan 2 の物

理ポートと結びつきます。

IPsec の設定

まず、設定するインタフェースを IPsec ができるようにするため、インタフェースの転送方

式、IPsec タイプを設定します。

lan 1 ip address 192.168.10.1/24 3

lan 1 vlan 2

remote 0 ip nat mode multi any 1 5m



remote 0 ip nat static 2 xxx.xxx.xxx.xxx any xxx.xxx.xxx.xxx any 50

remote 1 ap 0 datalink type ipsec

remote 1 ap 0 ipsec type ike

IKE フェーズ 1

IPsec 設定項目：IKE フェーズ 1 表にて提示した内容を設定します。

事前共有鍵(ike shared key)、相手側トンネルエンドポイント(tunnel remote)については、

Windows Azure ポータルサイトにて確認した内容を設定します。

IKE フェーズ 2

IPsec 設定項目：IKE フェーズ２表にて提示した内容を設定します。

ike range 設定の対向側のセグメントについては注意が必要です。ゲートウェイサブネット

ではなく、仮想ネットワークのセグメントを設定してください。

remote 1 ap 0 ike mode main

remote 1 ap 0 ike shared key text abcdefghijklmnopqrstuvwxyz12345

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

remote 1 ap 0 ike proposal 0 hash hmac-sha256

remote 1 ap 0 ike proposal 0 pfs modp1024

remote 1 ap 0 ike proposal 0 lifetime 8h

remote 1 ap 0 ike nat-traversal use on

remote 1 ap 0 tunnel local xxx.xxx.xxx.xxx

remote 1 ap 0 tunnel remote yyy.yyy.yyy.yyy

remote 1 ap 0 ipsec ike protocol esp

remote 1 ap 0 ipsec ike range 192.168.10.0/24 172.16.0.0/12

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

remote 1 ap 0 ipsec ike auth hmac-sha256

remote 1 ap 0 ipsec ike lifetime 1h

その他

ルート設定、MSS 値の設定をします。この MSS 値はカプセル化の方式によって変わりま

す。今回は 1350 を設定します。

以上で設定が完了です。

最後に設定を save して再起動します。

remote 1 ip route 0 172.16.0.0/16 1 1


save

reset

IPsec 確立確認方法

Windows Azure での IPsec は、Azure 側でゲートウェイ作成後、[接続]をクリックすると、

Azure 側からネゴシエーションが開始されます。

Si-R を接続し、少し時間がたってから show access-point コマンドを実行して確認してくだ

さい。正常に IPsec が確立できていれば下記のような結果が得られます。

IKE SA,IPsec SA ともに established、status connected となっていれば接続ができていま

す。

#show access-point

remote 1 ap 0 : Azure.IPSec

status : connected

since : Sep 6 05:56:28 2013

speed : not available

send traffic : not available

receive traffic : not available

type : IPsec/IKE

IKE Version : 1

exchange type : main

IKE SA : established

IPsec SA : established

Documents

クラウド接続 「Windows Azure」との接続fenics.fujitsu.com/products/manual/cloud_connection.pdfWindows Azure 側ネットワーク Windows azure 仮想ネットワークでは、172.16.0.0/12

クラウド接続「Windows Azure」との接続fenics.fujitsu.com/products/manual/cloud_connection.pdfWindows Azure 側ネットワーク Windows azure 仮想ネットワークでは、172.16.0.0/12