ASA 8.4 コードでの IKEv1 から IKEv2 への L2L トンネル設定のすばやい移行

ダウンロードオプション

PDF (270.7 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (88.2 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (78.2 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2013 年 2 月 25 日

Document ID:113597

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

表記法

IKEv2 に移行する理由

移行の概要

移行プロセス

コンフィギュレーション

IKEv2 トンネルの確立の確認

移行後の PSK の確認

IKEv2 とトンネルマネージャプロセス

IKEv2 から IKEv1 へのフォールバックメカニズム

IKEv2 の強化

概要

このドキュメントでは、IKEv2 に関する情報と、IKEv1 からの移行プロセスについて説明します。

前提条件

要件

IKEv1 事前共有キー（PSK）認証方式を使用して IPsec を実行する Cisco ASA セキュリティアプライアンスがあり、IPsec トンネルが作動可能状態になっていることを確認してください。

IKEv1 PSK 認証方式を使用して IPsec を実行する Cisco ASA セキュリティアプライアンスの設定例については、『PIX/ASA 7.x 以降：PIX-to-PIX VPN トンネルの設定例』を参照してください。

使用するコンポーネント

このドキュメントの情報は、次のハードウェアとソフトウェアのバージョンに基づくものです。

バージョン 8.4.x 以降で実行される Cisco ASA 5510 シリーズセキュリティアプライアンス。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメントの表記法の詳細は、「シスコテクニカルティップスの表記法」を参照してください。

IKEv2 に移行する理由

IKEv2 では、ネットワーク攻撃に対する復元性が向上しています。IKEv2 は、IPsec 発信側の検証時にネットワークでの DoS 攻撃を軽減できます。DoS 脆弱性の悪用を困難にするために、応答側は、これが通常の接続であることを応答側に保証する必要がある発信側に Cookie を求めることができます。IKEv2 では、応答側の Cookie により DoS 攻撃が軽減されるため、発信側が応答側によって送信された Cookie を返さない限り、応答側は IKE 発信側の状態を維持しないか、D-H 操作を実行しません。応答側は、最小限の CPU を使用し、発信側を完全に検証できるまで状態をセキュリティアソシエーション（SA）にコミットしません。
IKEv2 は、さまざまな VPN 製品間での IPsec 確立の複雑さを軽減します。相互運用性を向上させ、さらに従来の認証方式に標準の方法を使用できます。IKEv2 は、デッドピア検知（DPD）、NAT トラバーサル（NAT-T）、または Initial Contact などの組み込みテクノロジーを提供するため、ベンダー間のシームレスな IPsec の相互運用性を実現します。
IKEv2 ではオーバーヘッドが少なくなっています。オーバーヘッドの減少によって、SA 設定の遅延が改善します。中継では複数の要求が許可されます（複数の子 SA を並行して設定する場合など）。
IKEv2 では SA の遅延が短縮されています。IKEv1 では、パケットボリュームが増幅すると、SA 作成の遅延は増幅します。IKEv2 は、パケットボリュームが増幅しても同じ平均遅延を維持します。パケットボリュームが増幅すると、パケットヘッダーを暗号化して処理する時間も増えます。新しい SA 確立を作成する場合、より長い時間が必要です。IKEv2によって生成されるSAは、IKEv1によって生成されるSAよりも小さくなります。増幅されたパケットサイズでは、SAの作成に要する時間はほぼ一定です。
IKEv2 ではキー再生成時間が短縮されています。IKEv1では、IKEv2よりもSAのキー再生成に時間がかかります。SAのIKEv2キー再生成では、セキュリティパフォーマンスが向上し、移行中に失われるパケットの数が減少します。IKEv1の特定のメカニズム（ToSペイロード、SAライフタイムの選択、SPIの一意性など）のIKEv2での再定義により、IKEv2で失われるパケットと複製されるパケットが減少します。そのため、SAのキー再生成は不要です。

注：ネットワークセキュリティは最も弱いリンクと同じ強度しか持つことができないため、IKEv2はIKEv1と相互運用できません。

移行の概要

IKEv1 または場合によっては SSL の設定がすでに存在する場合、ASA では移行プロセスが簡単になります。コマンドラインで、migrate コマンドを入力します。

migrate {l2l | remote-access {ikev2 | ssl} | overwrite}

注意する点：

キーワード定義：
- l2l：これによって、現在の IKEv1 l2l トンネルが IKEv2 に変換されます。
- remote access：これによって、リモートアクセス設定が変換されます。IKEv1 または SSL のいずれかのトンネルグループを IKEv2 に変換できます。
- overwrite：上書きする IKEv2 の設定がある場合、このキーワードによって、現在の IKEv1 の設定が変換され、不要な IKEv2 の設定は削除されます。
IKEv2 では、対称キーと非対称キーの両方を PSK 認証に使用できることに留意することが重要です。migration コマンドを ASA で入力すると、ASA は、自動的に対称 PSK で IKEv2 VPN を作成します。
コマンドの入力後に現在の IKEv1 の設定は削除されません。代わりに、IKEv1 と IKEv2 の両方の設定が並行して同じクリプトマップで実行されます。これは、手動で行うこともできます。IKEv1 と IKEv2 の両方を並行して実行する場合、接続の試行が失敗する可能性がある IKEv2 のプロトコルまたは設定の問題が存在すると、これによって IPsec VPN の発信側が IKEv2 から IKEv1 にフォールバックします。IKEv1 と IKEv2 の両方を並行して実行する場合、ロールバックメカニズムも提供され、移行が簡単になります。
IKEv1 と IKEv2 の両方を並行して実行する場合、ASA は、発信側で共通のトンネルマネージャまたは IKE というモジュールを使用して、接続に使用するクリプトマップと IKE プロトコルバージョンを決定します。ASA では常に IKEv2 の開始が優先されますが、これが可能ではない場合は IKEv1 にフォールバックします。
冗長性に使用される複数のピアは ASA 上の IKEv2 ではサポートされません。IKEv1 では、冗長性のために、set peer コマンドを入力すると、同じクリプトマップで複数のピアを持つことができます。最初のピアがプライマリになり、障害が発生した場合は 2 番目のピアが動作します。Cisco Bug ID CSCud22276（登録ユーザ専用）、『ENH：IKEv2 での複数ピアのサポート』を参照してください。

移行プロセス

コンフィギュレーション

この例では、事前共有キー（PSK）認証を使用する IKEv1 VPN が ASA 上に存在します。

注：ここで示す設定は、VPNトンネルにのみ関連しています。

現在の IKEv1 VPN（移行前）を使用した ASA の設定

ASA-2(config)# sh run
ASA Version 8.4(2)
!
hostname ASA-2
!
crypto ipsec IKEv1 transform-set goset esp-3des esp-sha-hmac
crypto map vpn 12 match address NEWARK
crypto map vpn 12 set pfs group5
crypto map vpn 12 set peer <peer_ip-address>
crypto map vpn 12 set IKEv1 transform-set goset
crypto map vpn interface outside
crypto isakmp disconnect-notify
crypto IKEv1 enable outside
crypto IKEv1 policy 1
 authentication pre-share
 encryption 3des
 hash sha
 group 5
 lifetime 86400
!
tunnel-group <peer_ip-address> type ipsec-l2l
tunnel-group <peer_ip-address> ipsec-attributes
 IKEv1 pre-shared-key *****
 isakmp keepalive threshold 10 retry 3

ASA IKEv2 の設定（移行後）

注：太字の斜体でマークされた変更。

ASA-2(config)# migrate l2l
ASA-2(config)# sh run
ASA Version 8.4(2)
!
hostname ASA-2
!
crypto ipsec IKEv1 transform-set goset esp-3des esp-sha-hmac

crypto ipsec IKEv2 ipsec-proposal goset protocol esp encryption 3des protocol esp integrity sha-1

crypto map vpn 12 match address NEWARK
crypto map vpn 12 set pfs group5
crypto map vpn 12 set peer <peer_ip-address>
crypto map vpn 12 set IKEv1 transform-set goset

crypto map vpn 12 set IKEv2 ipsec-proposal goset

crypto map vpn interface outside
crypto isakmp disconnect-notify

crypto IKEv2 policy 1 encryption 3des integrity sha group 5 prf sha lifetime seconds 86400 crypto IKEv2 enable outside

crypto IKEv1 enable outside
crypto IKEv1 policy 1
 authentication pre-share
 encryption 3des
 hash sha
 group 5
 lifetime 86400
!
tunnel-group <peer_ip-address> type ipsec-l2l
tunnel-group <peer_ip-address> ipsec-attributes
 IKEv1 pre-shared-key *****
 isakmp keepalive threshold 10 retry 3
 
IKEv2 remote-authentication pre-shared-key ***** IKEv2 local-authentication pre-shared-key *****

IKEv2 トンネルの確立の確認

ASA1# sh cry IKEv2 sa detail

IKEv2 SAs:
Session-id:12, Status:UP-ACTIVE, IKE count:1, CHILD count:1
Tunnel-id   Local                Remote     Status        Role
102061223 192.168.1.1/500  192.168.2.2/500  READY    INITIATOR
     Encr: 3DES, Hash: SHA96, DH Grp:5, Auth sign: PSK,Auth verify: PSK
     Life/Active Time: 86400/100 sec
     Status Description: Negotiation done
     Local spi: 297EF9CA996102A6       Remote spi: 47088C8FB9F039AD
     Local id: 192.168.1.1
     Remote id: 192.168.2.2
      DPD configured for 10 seconds, retry 3
     NAT-T is not detected
Child sa: local selector  10.10.10.0/0 - 10.10.10.255/65535
         remote selector 10.20.20.0/0 - 10.20.20.255/65535
         ESP spi in/out: 0x637df131/0xb7224866
         
ASA1# sh crypto ipsec sa
interface: outside
   Crypto map tag: vpn, seq num: 12, local addr: 192.168.1.1
     access-list NEWARK extended permit ip 10.10.10.0 255.255.255.0 
     10.20.20.0 255.255.255.0
     local ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)
     remote ident (addr/mask/prot/port): (10.20.20.0/255.255.255.0/0/0)
     current_peer: 192.168.2.2
     #pkts encaps: 4, #pkts encrypt: 4, #pkts digest: 4

移行後の PSK の確認

PSK を確認するには、グローバルコンフィギュレーションモードで次のコマンドを実行できます。

more system: running-config | beg tunnel-group

IKEv2 とトンネルマネージャプロセス

前述したとおり、ASA は、発信側で共通のトンネルマネージャまたは IKE というモジュールを使用して、接続に使用するクリプトマップと IKE プロトコルバージョンを決定します。モジュールをモニタするには、次のコマンドを入力します。

debug crypto ike-common <level>

IKEv2 トンネルを開始するためにトラフィックが渡されたときに、debug、logging、show コマンドが収集されました。明確にするために、一部の出力は省略されています。

ASA1(config)# logging enable
ASA1(config)# logging list IKEv2 message 750000-752999
ASA1(config)# logging console IKEv2
ASA1(config)# exit
ASA1# debug crypto IKEv2 platform 4
ASA1# debug crypto IKEv2 protocol  4
ASA1# debug crypto ike-common 5

%ASA-5-752003: Tunnel Manager dispatching a KEY_ACQUIRE message to IKEv2.
Map Tag = vpn.  Map Sequence Number = 12.
%ASA-5-750001: Local:192.168.1.1:500 Remote:192.168.2.2:500 Username:Unknown
Received request to establish an IPsec tunnel; local traffic selector = Address Range: 
10.10.10.11-10.10.10.11 Protocol: 0 
Port Range: 0-65535; remote traffic selector = Address Range: 
10.20.20.21-10.20.20.21 Protocol: 0 Port Range: 0-65535
Mar 22 15:03:52 [IKE COMMON DEBUG]Tunnel Manager dispatching a KEY_ACQUIRE 
message to IKEv2.  Map Tag = vpn.  Map Sequence Number = 12.
IKEv2-PLAT-3: attempting to find tunnel group for IP: 192.168.2.2
IKEv2-PLAT-3: mapped to tunnel group 192.168.2.2 using peer IP
    26%ASA-5-750006: Local:192.168.1.1:500 Remote:192.168.2.2:500 
Username:192.168.2.2 SA UP. Reason: New Connection Established
43%ASA-5-752016: IKEv2 was successful at setting up a tunnel.  
Map Tag = vpn. Map Sequence Number = 12.
%ASA-7-752002: Tunnel Manager Removed entry.  Map Tag = vpn.  
Map Sequence Number = 12.
IKEv2-PLAT-4: SENT PKT [IKE_SA_INIT] [192.168.1.1]:500->[192.168.2.2]:500 
InitSPI=0x297ef9ca996102a6 RespSPI=0x0000000000000000 MID=00000000
IKEv2-PROTO-3: (12): Insert SA
IKEv2-PLAT-4: RECV PKT [IKE_SA_INIT] [192.168.2.2]:500->[192.168.1.1]:500 
InitSPI=0x297ef9ca996102a6 RespSPI=0x47088c8fb9f039ad MID=00000000
IKEv2-PLAT-4: SENT PKT [IKE_AUTH] [192.168.1.1]:500->[192.168.2.2]:500 
InitSPI=0x297ef9ca996102a6 RespSPI=0x47088c8fb9f039ad MID=00000001
IKEv2-PLAT-4: RECV PKT [IKE_AUTH] [192.168.2.2]:500->[192.168.1.1]:500 
InitSPI=0x297ef9ca996102a6 RespSPI=0x47088c8fb9f039ad MID=00000001
IKEv2-PROTO-3: (12): Verify peer's policy
IKEv2-PROTO-3: (12): Get peer authentication method
IKEv2-PROTO-3: (12): Get peer's preshared key for 192.168.2.2
IKEv2-PROTO-3: (12): Verify authentication data
IKEv2-PROTO-3: (12): Use preshared key for id 192.168.2.2, key len 5
IKEv2-PROTO-2: (12): SA created; inserting SA into database
IKEv2-PLAT-3:
CONNECTION STATUS: UP... peer: 192.168.2.2:500, phase1_id: 192.168.2.2
IKEv2-PROTO-3: (12): Initializing DPD, configured for 10 seconds
IKEv2-PLAT-3: (12) DPD Max Time will be: 10
IKEv2-PROTO-3: (12): Checking for duplicate SA
Mar 22 15:03:52 [IKE COMMON DEBUG]IKEv2 was successful at setting up a tunnel.  
Map Tag = vpn. Map Sequence Number = 12.
Mar 22 15:03:52 [IKE COMMON DEBUG]Tunnel Manager Removed entry.  
Map Tag = vpn.  Map Sequence Number = 12.

IKEv2 から IKEv1 へのフォールバックメカニズム

IKEv1とIKEv2の両方が並行している場合、ASAは常にIKEv2を開始することを優先します。ASAが開始できない場合は、IKEv1にフォールバックします。Tunnel manager/IKE共通モジュールがこのプロセスを管理します。発信側でのこの例では、フォールバックメカニズムを示すために、IKEv2 SA がクリアされ、IKEv2 が故意に誤って設定されています（IKEv2 の提案は削除されます）。

ASA1# clear  crypto  IKEv2 sa

%ASA-5-750007: Local:192.168.1.1:500 Remote:192.168.2.2:500 
Username:192.168.2.2 SA DOWN. Reason: operator request
ASA1(config)# no crypto map vpn 12 set IKEv2 ipsec-proposal GOSET
ASA1# (config ) logging enable
ASA1# (config ) logging list IKEv2 message 750000-752999
ASA1# (config ) logging console IKEv2
ASA1# (config ) exit
ASA1# debug crypto IKEv2 platform 4
ASA1# debug crypto IKEv2 protocol  4
ASA1# debug crypto ike-common 5
%ASA-5-752004: Tunnel Manager dispatching a KEY_ACQUIRE message to IKEv1.  
Map Tag = vpn.  Map Sequence Number = 12.
%ASA-4-752010: IKEv2 Doesn't have a proposal specified
Mar 22 15:11:44 [IKE COMMON DEBUG]Tunnel Manager dispatching a KEY_ACQUIRE 
message to IKEv1.  Map Tag = vpn.  Map Sequence Number = 12.
Mar 22 15:11:44 [IKE COMMON DEBUG]IKEv2 Doesn't have a proposal specified
%ASA-5-752016: IKEv1 was successful at setting up a tunnel.  Map Tag = vpn. 
Map Sequence Number = 12.
%ASA-7-752002: Tunnel Manager Removed entry.  Map Tag = vpn.  
Map Sequence Number = 12.
Mar 22 15:11:44 [IKE COMMON DEBUG]IKEv1 was successful at setting up a tunnel.  
Map Tag = vpn. Map Sequence Number = 12.
Mar 22 15:11:44 [IKE COMMON DEBUG]Tunnel Manager Removed entry.  Map Tag = vpn.  
Map Sequence Number = 12.

ASA1(config)# sh cry IKEv2 sa
There are no IKEv2 SAs
ASA1(config)# sh cry IKEv1 sa
IKEv1 SAs:
  Active SA: 1
  Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 1
1   IKE Peer: 192.168.2.2
   Type    : L2L             Role    : initiator
   Rekey   : no              State   : MM_ACTIVE

IKEv2 の強化

IKEv2 の使用時に追加のセキュリティを提供するために、次のオプションコマンドを使用することを強くお勧めします。

Crypto IKEv2 cookie-challenge：ASA は、ハーフオープン SA が開始したパケットへの応答で Cookie チャレンジをピアデバイスに送信できます。
Crypto IKEv2 limit max-sa：ASA での IKEv2 接続の数を制限します。デフォルトでは、許可される最大の IKEv2 接続は、ASA ライセンスで指定された接続の最大数と等しくなっています。
Crypto IKEv2 limit max-in-negotiation-sa：ASA で IKEv2 のネゴシエーション中の（オープンな）SA の数を制限します。crypto IKEv2 cookie-challenge コマンドとともに使用する場合は、cookie-challenge しきい値がこの制限より低くなるようにしてください。

非対称キーを使用します。移行後に、非対称キーを使用するよう設定を変更できます（以下参照）。

ASA-2(config)# more system:running-config
tunnel-group <peer_ip-address> type ipsec-l2l
tunnel-group <peer_ip-address> ipsec-attributes
 IKEv1 pre-shared-key cisco1234
 IKEv2 remote-authentication pre-shared-key cisco1234
 IKEv2 local-authentication pre-shared-key cisco123

IKEv2 事前共有キーの他のピアに設定をミラーリングする必要があることを十分に理解することが重要です。設定を選択して、ある側から他の側に貼り付けても機能しません。

注：これらのコマンドはデフォルトで無効になっています。

ASA 8.4 コードでの IKEv1 から IKEv2 への L2L トンネル設定のすばやい移行

ダウンロードオプション

偏向のない言語

翻訳について

内容

概要

前提条件

要件

使用するコンポーネント

表記法

IKEv2 に移行する理由

移行の概要

移行プロセス

コンフィギュレーション

IKEv2 トンネルの確立の確認

移行後の PSK の確認

IKEv2 とトンネルマネージャプロセス

IKEv2 から IKEv1 へのフォールバックメカニズム

IKEv2 の強化

関連情報

更新履歴

シスコエンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ASA 8.4 コードでの IKEv1 から IKEv2 への L2L トンネル設定のすばやい移行

ダウンロード オプション

偏向のない言語

翻訳について

内容

更新履歴

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

シスコエンジニア提供