 |
||
|
|
|
| 注意： 本製品は既に生産/販売を終了しております。 |
|
目次
Cisco 1700、2600、3600、3700シリーズVPNモジュール ソフトウェア
データ シート
Cisco 1700、2600、3600、3700シリーズ用VPNモジュール
Cisco 1700、2600、3600、3700シリーズ ルータでVirtual Private Network（VPN;仮想私設網）モジュールを使用すれば、プラットフォームをVPN用に最適化できます。
Cisco 1700、2600、3600、3700シリーズVPNモジュールを使用すると、暗号化処理をルータのCPUで行う必要がなくなるため、ソフトウェアのみによる暗号化に比べて最大で10倍ものパフォーマンスを実現できるようになります。企業の支社で使用してリモート オフィス、モバイル ユーザ、パートナーのエクストラネットに接続したり、サービス プロバイダーが管理するCustomer Premises Equipment（CPE;顧客宅内機器）として使用したりする場合に最適な Cisco 1700、2600、3600、3700 シリーズVPNモジュールは、ルーティング、ファイアウォール、侵入検知、およびVPNの豊富な機能を統合したパッケージとなっています。Cisco VPNソリューションに不可欠なコンポーネントであるCisco 1700、2600、3600、3700 シリーズVPNモジュールでは、業界標準の暗号化機能（IPSec）、アプリケーション識別型のQuality of Service（QoS;サービス品質）、および帯域幅管理機能を、安定した境界セキュリティ オプションとともに利用できます。
図1 Cisco 1700、2600、3600、3700シリーズVPNモジュール
ご利用いただけるVPNモジュール ハードウェアは、次のとおりです。
･ MOD1700-VPN ― このVPNモジュールは、Cisco 1710、1720、1721、1750、1751、1760を含むすべての1700シリーズ ルータに搭載可能です。Cisco 1700シャーシ内のスロットに挿入し、Data Encryption Standard（DES）およびTriple Data Encryption Standard（3DES）アルゴリズムを使用して、全二重T1/E1接続に適応可能な高速処理（最大8 Mbpsの3DES）でデータを暗号化します（最大値は1400 バイトのパケット サイズ使用時）。
･ AIM-VPN/Base Performance（BP） ― このAdvanced Interface Module（AIM）は、現行のすべてのCisco 2600シリーズ ルータ（Cisco 2600、2600XM、2691を含む）に搭載可能で、ハードウェア ベースの暗号化サービスを、最大10 Mbpsの3DES性能でCisco 2600シリーズおよび2600 XMシリーズに提供します（最大値は1400 バイトのパケット使用時）。
･ AIM-VPN/Enhanced Performance（EP） ― このAIM VPNモジュールは、現行のすべてのCisco 2600、2600XM、2691およびCisco 3725に搭載可能です。このAIMは、Cisco 2650/2651、2600XM、2691、3725の高速処理用に設計されているため、Cisco 2610/2611および2620/2621での使用は推奨できません。このモデルは、Cisco 2650/2651では最大14 Mbpsの3DES性能、Cisco 2600XMでは最大15 Mbpsの3DES性能で、ハードウェア ベースの暗号化サービスをそれぞれ提供します（最大値は1400 バイトのパケット サイズ使用時）。
･ Network Module（NM）-VPN/Mid Performance（MP） ― このネットワーク モジュールは、現行のすべてのCisco 3620および3640プラットフォームで使用可能で、最大18 Mbpsの3DES性能でハードウェア ベースの暗号化サービスを提供します（最大値は1400バイトのパケット サイズ使用時）。
･ AIM-VPN/High Performance（HP） ― このAIMは、Cisco 3660および3745に搭載可能で、最大42 Mbpsの3DES性能でハードウェア ベースの暗号化サービスを提供します（最大値は1400 バイトのパケット サイズ使用時）。
･ AIM-VPN/Base Performance（BP II） ― このAIM VPNモジュールは、DES/3DES/AES（AES128用に最適化）とレイヤ3（IPPCP）圧縮機能を兼ね備え、現行のCisco 2600XMに搭載可能です。DES/3DESとNational Institute for Standards（NIST）の新しいAdvanced Encryption Standard（AES）をサポートしています。AES128キー用に最適化されているので、AES128暗号化のみを必要とするネットワークに最適です。さらに、このVPNモジュールではハードウェア支援型のレイヤ3（IPPCP）圧縮サービスを利用できるため、帯域幅の節約によってネットワーク接続コストを削減できます。このモジュールは、Cisco 2611では最大20 Mbpsの3DES/AES128性能、Cisco 2651XMでは最大22 Mbpsの3DES/AES128性能で、ハードウェア ベースの暗号化サービスを提供します（最大値は1400 バイトのパケット サイズ使用時）。
･ AIM-VPN/Enhanced Performance（EP II） ― このAIM VPNモジュールは、DES/3DES/AES（AES128用に最適化）とレイヤ3（IPPCP）圧縮機能を兼ね備え、現行のCisco 2691とCisco 3725に搭載可能です。DES/3DES、およびNISTの新しいAESをサポートしています。AES128キー用に最適化されているので、AES128暗号化のみを必要とするネットワークに最適です。さらに、このVPNモジュールではハードウェア支援型のレイヤ3（IPPCP）圧縮サービスを利用できるため、帯域幅の節約によってネットワーク接続コストを削減できます。このモジュールは、Cisco 2691では最大80 Mbpsの3DES/AES128性能、Cisco 3725では最大150 Mbpsの3DES/AES128性能で、ハードウェア ベースの暗号化サービスを提供します（最大値は1400 バイトのパケット サイズ使用時）。
･ AIM-VPN/High Performance（HP II） ― このAIM VPNモジュールは、DES/3DES/AES（AES128用に最適化）とレイヤ3（IPPCP）圧縮機能を兼ね備え、現行のCisco 3660およびCisco 3745プラットフォームに搭載可能です。DES/3DES、およびNISTの新しいAESをサポートしています。AES128キー用に最適化されているので、AES128暗号化のみを必要とするネットワークに最適です。さらに、このVPNモジュールではハードウェア支援型のレイヤ3（IPPCP）圧縮サービスを利用できるため、帯域幅の節約によってネットワーク接続コストを削減できます。このモデルは、Cisco 3745では最大180 Mbpsの3DES/AES128性能でハードウェア ベースの暗号化サービスを提供します（最大値は1400 バイトのパケット サイズ使用時）。
･ AIM-VPN/Base Performance PLUS（BPII-PLUS） ― このAIM VPNモジュールは、DES/3DES/AES（AES128、AES192、AES256用に最適化）とレイヤ3（IPPCP）圧縮機能を兼ね備え、現行のCisco 2600XMに搭載可能です。DES/3DES、およびNISTの新しいAESをサポートしており、AESのすべてのキー サイズ（AES128、AES192、AES256）に対応して最適化されています。さらに、このVPNモジュールではハードウェア支援型のレイヤ3（IPPCP）圧縮サービスを利用できるため、帯域幅の節約によってネットワーク接続コストを削減できます。このモジュールは、Cisco 2611では最大20 Mbpsの3DES/AES（128、192、256）性能、Cisco 2651XMでは最大22 Mbpsの3DES/AES（128、192、256）性能で、ハードウェア ベースの暗号化サービスを提供します（最大値は1400 バイトのパケット サイズ使用時）。
･ AIM-VPN/Enhanced Performance PLUS（EP II-PLUS） ― このAIM VPNモジュールは、DES/3DES/AES（AES128、AES192、AES256用に最適化）とレイヤ3（IPPCP）圧縮機能を兼ね備え、現行のCisco 2691とCisco 3725に搭載可能です。DES/3DES、およびNISTの新しいAESをサポートしており、AESのすべてのキー サイズ（AES128、AES192、AES256）に対応して最適化されています。さらに、ハードウェア支援型のレイヤ3（IPPCP）圧縮サービスを利用できるため、帯域幅の節約によってネットワーク接続コストを削減できます。このモジュールは、Cisco 2691では最大80 Mbpsの3DES/AES（128、192、256）性能、Cisco 3725では最大150 Mbpsの3DES/AES（128、192、256）性能で、ハードウェア ベースの暗号化サービスを提供します（最大値は1400 バイトのパケット サイズ使用時）。
･ AIM-VPN/High Performance PLUS（HP II-PLUS） ― このAIM VPNモジュールは、DES/3DES/AES（AES128、AES192、AES256用に最適化）とレイヤ3（IPPCP）圧縮機能を兼ね備え、現行のCisco 3660およびCisco 3745プラットフォームに搭載可能です。DES/3DES、およびNISTの新しいAESをサポートしており、AESのすべてのキー サイズ（AES128、AES192、AES256）に対応して最適化されています。さらに、ハードウェア支援型のレイヤ3（IPPCP）圧縮サービスを利用できるため、帯域幅の節約によってネットワーク接続コストを削減できます。このモデルは、Cisco 3745では最大180 Mbpsの3DES/AES（128、192、256）性能でハードウェア ベースの暗号化サービスを提供します（最大値は1400 バイトのパケット サイズ使用時）。
暗号化処理のほかにも、Cisco 1700、2600、3600、3700シリーズのVPNモジュールは、IPSecに関連したさまざまなタスク（ハッシング、鍵交換、セキュリティ アソシエーションの保存）を処理できるため、メイン プロセッサとメモリを解放して他のルータ機能、音声機能、ファイアウォール機能、侵入検知機能の実行に振り分けることができます。
表1
表2
機能
シスコでは、IPSecとその関連プロトコルを規定したRequest For Comments（RFC）2401-2410全体をすべてサポートしています。具体的には、次の機能をサポートしています。
･ AES ― Advanced Encryption Standard（AES）。AESは、NISTがFederal Information Processing Standard（FIPS）の新規格として開発し、 IPSecおよびInternet Key Exchange（IKE）のプライバシー用途の変換機能となっています。AESではキーが可変長であり、アルゴリズムによって128ビット キー（デフォルト）、192ビット キー、256ビット キーのいずれかを指定できます。新しいAIM-VPN/BPII、AIM-VPN/EPIIおよびHPIIは、ハードウェアでAES128用に最適化されています。新しいAIM-VPN/BPII-PLUS、AIM-VPN/EPII-PLUSおよびHPII-PLUSは、ハードウェアでAESの3つのキー サイズ、AES128、AES192、AES256すべてに対応して最適化されています。
･ IPSec ― 暗号化テクノロジーを利用して、プライベート ネットワークに参加しているピア間でデータの機密性、保全性、および信頼性を確保します｡シスコでは、Encapsulating Security Payload（ESP）とAuthentication Header（AH）をすべてサポートしています。
･ IKE ― Internet Security Association Key Management Protocol（ISAKMP/Oakley）に基づいたセキュリティ アソシエーションの管理を可能にします。IKEは、IPSecトランザクション内の各ピアを認証し、セキュリティ ポリシーのネゴシエーションを行い、セッション キーの交換を処理します。
･ 認証の管理 ― シスコでは、デバイス認証のためのX509.V3認証システム、認証局との通信プロトコルであるSimple Certificate Enrollment Protocol（SCEP）を、すべてサポートしています。Verisign、Entrust Technologies、MicrosoftなどのベンダーがCisco SCEPをサポートしており、シスコのデバイスと相互運用可能です。
･ DES、3DES、AES ― これらの暗号化機能は、IPSecトンネルを宛先とするすべてのパケットに必要です。Cisco 1700、2600、3600、3700シリーズのVPNモジュールではDESまたは3DESによるデータ暗号化を行うため、メイン プロセッサは解放されてほかの処理を実行できます。AIM-VPN/BPII、AIM-VPN/EPIIおよびHPIIでは、AESもサポートされています。
･ RSAシグニチャとDiffie-Hellman方式 ― これらはIPSecトンネルが確立されるたびに、IKE SAを認証するために使用されます。Diffie-Hellman方式は、使用されているIPSecポリシーのネゴシエーションなど、IKE SA間でやりとりするデータを保護するための共有秘密暗号鍵を生成するために使用されます。
･ セキュリティの強化 ― ハードウェア ベースの暗号化を使用すれば、キーの保護を強化できるなど、複数の点でソフトウェア ベースのソリューションよりも有利です。
製品認定について
シスコは、世界中のお客様のために、製品の認定と評価プログラムの維持に努めていきます。認定と評価がお客様にとって重要であると認識し、業界のリーダーとして、認定済みかつ評価の高い製品を市場へ供給し続けます。シスコは、今後とも国際的なセキュリティ標準化機関と連携し、認定済みかつ評価の高い製品の将来を形づくるとともに、認定および評価プロセスの促進に従事します。シスコでは、認定と評価について製品開発サイクルの初期段階から検討を重ね、今後とも、お客様のニーズに合ったさまざまな製品を確実に提供していきます。
FIPS
Cisco 1700、2600、3600シリーズおよびVPNモジュールは、FIPS 140-1レベル2のセキュリティに適合した設計となっていますが、現在、2611、2651、3640、3660の特定のモデルだけがFIPS 140-1レベル2に対応しています。NISTはFIPS 140-1をFIPS 140-2にアップグレードしたため、シスコでは、FIPS 140-2レベル2の認定を受けるために多くのルータを現在申請中です。シスコ製品の最新のFIPS認定状況については、次のURLからの認定済み製品一覧をご覧ください。
･ http://csrc.nist.gov/cryptval/
ICSA IPSec
ICSAは商業用セキュリティ認定機関で、各種セキュリティ製品に対してICSA IPSecおよびICSAファイアウォールの認定を行っています。シスコは、ICSAのIPSecプログラムとファイアウォール プログラムに参加しています。シスコ製品の現在のICSA認定状況については、次のURLから認定済み製品一覧をご覧ください。
Common Criteria
Common Criteriaは、ITにおけるセキュリティを評価するための国際基準です。この基準は、各国に数多く存在するセキュリティ評価プロセスに代わって、国際的に使用できる単一基準を確立することを目的として、多国間のコンソーシアムが開発したものです。現在、14カ国がCommon Criteriaを公式に認定しています。シスコからはIOS IPsecとCiscoルータの一部のバージョンが、Australasian Information Security Evaluation Program（AISEP）のもとでITSECまたはCommon Criteriaの評価を受けています。
シスコ製品に関する現在のCommon Criteriaの認定状況については、次のURLから認定済み製品一覧をご覧ください。
･ http://www.aisep.gov.au/infosec/evaluation_services/epl/network_security/Cisco_IPSec.html
シスコのIPSec VPN用管理ソフトウェア
企業VPNネットワーク用の管理ツール
CiscoWorks VPN/Security Management Solution（VMS）
CiscoWorks VPN/Security Management Solution（VMS）は、ネットワーク セキュリティの設計計画に不可欠の構成部分であり、企業のVPN、ファイアウォール、ネットワークの設定、監視、およびトラブルシューティングを行うためのWebベースのツールと、ホスト ベースのIntrusion Detection System（IDS）を組み合わせたものです。CiscoWorks VMSは、小規模または大規模のVPNおよびセキュリティの展開ニーズに対応可能な、業界最高水準のスケーラブルで安定した基盤とフィーチャ セットを提供しています。
CiscoWorks VMS 2.1には、シスコ ルータのVPNルータ、PIXファイアウォール、IDSセンサーの管理センターと、セキュリティの監視センターが含まれています。
機能
･ VPNルーティングの管理センターおよびセキュリティの監視センター
･ 整合性のある新しいユーザ インターフェイス、ワークフロー、およびロール定義
･ Smart Rules Hierarchyと柔軟なグループ化機能による迅速なポリシーの複製
･ 包括的な変更管理と監査機能
･ 中央集中型のRole-Based Access Control（RBAC）をサポート
CiscoWorks Router Management Center（ルータMC）はCiscoWorks VPN/Management Solution（VMS）のコンポーネントで、VPN接続の構成と展開を行うためのスケーラブルなセキュリティ管理機能を提供します。ルータMCは、大規模なサイトツーサイトVPN接続を構成し、展開するための強力で柔軟性の高い、直勧的で分かりやすいツールです。ルータMCには、個々のユーザや展開に対する許可を制御するために、管理用のユーザ承認制御機能が装備されているので、大企業で複数の管理ロールや運用上のロールを定義することも可能です。さらにルータMCには直勧的に使えるGUIインターフェイスが装備されているため、ポリシー定義が簡略化され、階層継承モデル、柔軟な展開オプション、および強力なレポート機能を利用できます。
CiscoWorks VPNモニタはWebベースの管理ツールで、ネットワーク管理者は、リモート アクセス用のIPSec VPN接続またはサイトツーサイトのVPN終端に関する情報を収集、保存、表示できます。Webブラウザを使用して設定する、使いやすいダッシュボードには複数のデバイスが表示可能です。このダッシュボードでは、次に示す機能を利用できます。VPNモニタでは、シスコ ルータのすべてのVPNモジュールがサポートしているIPSec MIBを利用しています。
VMSの使用により、ファイアウォール、VPN、ネットワークおよびホストベースのIDSの設定、監視、トラブルシューティングが、統合された1つの管理ソリューションで実行できるようになります。VMSでは、Auto UpdateやSmart Rules Hierarchyといった多面的なスケーラビリティ機能を独自に提供しているため、お客様は大規模なセキュリティ インフラストラクチャを容易に展開することが可能です。
Cisco 1700、2600、3600、3700シリーズVPNモジュール ソフトウェア
VPNモジュールは、Cisco IOS Release 12.1(1) XC、12.1(2) T以降、およびCisco 1700シリーズでサポートされています。Cisco 2600、3600、3700シリーズのVPNモジュールについては、Cisco IOS 12.1(5) T以降のCisco IOSソフトウェアでサポートされています。Cisco 2600XM、2691、および3700シリーズついてには、Cisco IOS 12.2(8)T以降が必要です。Cisco 2600XMにAIM-VPN/BPIIを搭載するには、Cisco IOS 12.2(15)ZJ以降が必要です。新しいAIM-VPN/BPII-PLUS、AIM-VPN/EPII-PLUS、およびAIM-VPN/HPII-PLUSには、メインライン リリースではCisco IOS 12.3(5c)または12.3(6)以降、Tトレイン リリースではCisco IOS 12.3(7)T以降が必要です。Cisco IOS IP Firewall Plus IPSec 3DESソフトウェアには、Cisco IOSソフトウェアのIPSec、ファイアウォール、およびすべての追加機能が含まれており、3DESとDES（56ビット）の両方の暗号化がサポートされています。IPSec 56バージョンのソフトウェアでは、 DES（56ビット）の暗号化のみがサポートされています。
Cisco 1700、2600、3600、3700シリーズ ルータにVPNモジュールを搭載しても、Cisco IOSソフトウェアのすべての機能が動作しますが、このモジュールはIPSecフィーチャ セットを実行する場合のみ利用できます。たとえば、Cisco 1700、2600、3600シリーズのCisco IOS 12.1(5) TのIP機能のみのソフトウェアは、VPNモジュールを搭載したCisco 1700、2600、3600シリーズ ルータで動作しますが、VPNモジュールでIPSecを有効にすることも、モジュールの機能を利用することもできません。
表3 Cisco 1700、2600、3600、3700シリーズIPSecソフトウェアの製品番号
VPNモジュールに対する輸出規制
VPNモジュール用のDES、3DESおよびAESソフトウェアは、暗号化製品に対する米国の輸出規制によって管理されています。米国の規制では、モジュール自体は管理されていませんが、DESおよび3DESソフトウェアの受取人の名前と住所を登録する必要があります。シスコのDESおよび3DESソフトウェアを発注の際、これらの情報が登録されます。詳細については、次のURLを参照してください。 http://www.cisco.com/wwl/export/crypto/
仕様
製品番号および説明
･ MOD1700-VPN：DES/3DES VPNモジュール1700
･ AIM-VPN/BP：DES/3DES VPN暗号化AIM ― 標準性能
･ AIM-VPN/EP：DES/3DES VPN暗号化AIM ― 拡張性能
･ NM-VPN/MP：DES/3DES VPN暗号化NM ― 中規模性能
･ AIM-VPN/HP：DES/3DES VPN暗号化AIM ― 高性能
･ AIM-VPN/BPII：DES/3DES/AESおよびレイヤ3（IPPCP）圧縮VPN暗号化AIM ― 標準性能
･ AIM-VPN/EPII：DES/3DES/AESおよびレイヤ3（IPPCP）圧縮VPN暗号化AIM ― 拡張性能
･ AIM-VPN/HPII：DES/3DES/AESおよびレイヤ3（IPPCP）圧縮VPN暗号化AIM ― 高性能
･ AIM-VPN/BPII-PLUS：DES/3DES/AESおよびレイヤ3（IPPCP）圧縮VPN暗号化AIM ― 標準性能
･ AIM-VPN/EPII-PLUS：DES/3DES/AESおよびレイヤ3（IPPCP）圧縮VPN暗号化AIM ― 拡張性能
･ AIM-VPN/HPII-PLUS：DES/3DES/AESおよびレイヤ3（IPPCP）圧縮VPN暗号化AIM ― 高性能
規格（Cisco IOS IPSec）
･ IPSec（RFC 2401-2410）
･ DES/3DES（RFC 2406）を使用したIPSec ESP
･ MD5またはSHA（RFC 2403-2404）を使用したIPSec AH
･ IKE（RFC 2407-2409）
環境
･ 動作温度：0～40°C（32～104°F）
･ 非動作温度：-20～65°C（-4～149°F）
･ 相対湿度：10～85%（結露しないこと、動作時）、5～95%（結露しないこと、非動作時の安全のため）
寸法と重量
適合規格、安全性、EMC、電気通信、ネットワーク認定
Cisco 1700、2600、3600、3700ルータにVPNモジュールを搭載しても、それによってルータ自体の規格（適合規格、安全性、EMC、電気通信、ネットワーク認定）が変化することはありません。Cisco 1700、2600、3600、および3700ルータについては、それぞれのデータ シートを参照してください。
