セキュリティ コンフィギュレーション ガイド： セキュア接続、Cisco IOS Release 15.1S

IKE：アグレッシブ モードの開始

---

機能の履歴

このマニュアルでは、Cisco IOS Release 12.2(8)T における IKE：アグレッシブ モードの開始機能について説明します。次の項で構成されています。

• 「機能の概要」

• 「サポートされているプラットフォーム」

• 「サポートされている規格、MIB、および RFC」

• 「前提条件」

• 「設定作業」

• 「設定例」

• 「コマンド リファレンス」

機能の概要

IKE：アグレッシブ モードの開始機能を使用すれば、IP Security（IPSec; IP セキュリティ）の RADIUS トンネル アトリビュートとして Internet Key Exchange（IKE; インターネット キー エクスチェンジ）事前共有キーを設定できます。これにより、ハブアンドスポーク トポロジ内で IKE 事前共有キーを拡張できます。

IKE 事前共有キーは理解しやすく、簡単に導入できるものですが、ユーザの数が増えると拡張が難しくなり、セキュリティ上の脅威が発生しやすくなります。ハブ ルータに事前共有キーを保管するのではなく、この機能を利用すれば、事前共有キーを、認証、許可、およびアカウンティング（AAA）サーバに保存し、またそこから取得することによって拡張できます。事前共有キーは、Internet Engineering Task Force（IETF; インターネット技術特別調査委員会）RADIUS トンネル アトリビュートとして AAA サーバに保存され、ユーザがハブ ルータに「スピーク」を試行する際に取得されます。ハブ ルータによって AAA サーバから事前共有キーが取得され、スポーク（ユーザ）が、Internet Security Association Key Management Policy（ISAKMP）ピア ポリシー内に RADIUS トンネル アトリビュートとして指定されている事前共有キーを使用して、ハブに対してアグレッシブ モードを開始します。

サポートされているプラットフォーム

この機能は、IPSec および Public Key Infrastructure（PKI; 公開鍵インフラストラクチャ）がサポートされているすべてのプラットフォーム上で実行されます。

• Cisco 800 シリーズ

• Cisco 805

• Cisco 806

• Cisco 828

• Cisco 1400 シリーズ

• Cisco 1600 シリーズ

• Cisco 1600-R シリーズ

• Cisco 1710

• Cisco 1720

• Cisco 1750

• Cisco 1751

• Cisco 2400 シリーズ

• Cisco 2600 シリーズ

• Cisco 3620

• Cisco 3640

• Cisco 3660

• Cisco 3725

• Cisco 3745

• Cisco 7100 シリーズ

• Cisco 7200 シリーズ

• Cisco 7500 シリーズ

• Cisco 7700 シリーズ

• Cisco MC3810

• Route Processor Module（RPM; ルート プロセッサ モジュール）

• Universal Route Module（URM）

Cisco Feature Navigator を使用したプラットフォーム サポートの特定

Cisco IOS ソフトウェアは、特定のプラットフォームがサポートされている機能セットにパッケージングされています。この機能のプラットフォーム サポートに関連した更新情報を取得するには、Cisco Feature Navigator にアクセスします。新しいプラットフォーム サポートが機能に追加されると、Cisco Feature Navigator によって、サポートされているプラットフォームのリストが自動的に更新されます。

Cisco Feature Navigator は Web ベースのツールであり、特定の機能セットがサポートされている Cisco IOS ソフトウェア イメージ、および、特定の Cisco IOS イメージ内でサポートされている機能を素早く特定できます。機能またはリリースごとに検索できます。リリース セクションでは、各リリースを横に並べて比較し、各ソフトウェア リリースに固有の機能と共通機能の両方を表示できます。

Cisco Feature Navigator にアクセスするには、Cisco.com のアカウントが必要です。アカウント情報を忘れたり、紛失したりした場合は、空の E メールを cco-locksmith@cisco.com に送信してください。自動チェックによって、E メール アドレスが Cisco.com に登録されているかどうかが確認されます。チェックが正常に終了したら、ランダムな新しいパスワードとともにアカウントの詳細が E メールで届きます。資格のあるユーザは、 http://www.cisco.com/register にある指示に従って、Cisco.com 上にアカウントを作成できます。

Cisco Feature Navigator は定期的に更新されています（Cisco IOS ソフトウェアの主要なリリース時およびテクノロジー リリース時）。最新情報については、次の URL から Cisco Feature Navigator ホームページにアクセスしてください。

http://tools.cisco.com/ITDIT/CFN/jsp/index.jsp

サポートされている規格、MIB、および RFC

規格

なし

MIB

なし

選択したプラットフォーム、Cisco IOS リリース、および機能セットの MIB を検索してダウンロードする場合は、次の URL にある Cisco MIB Locator を使用します。

http://www.cisco.com/go/mibs

RFC

• RFC 2409、『 The Internet Key Exchange 』

• RFC 2868、『 RADIUS Attributes for Tunnel Protocol Support 』

前提条件

IKE：アグレッシブ モードの開始機能を設定する前に、次の作業を実行する必要があります。

• AAA の設定

• IPSec トランスフォームの設定

• スタティック クリプト マップの設定

• ISAKMP ポリシーの設定

• ダイナミック クリプト マップの設定

これらの作業の完了については、 「Configuring Authentication 」および「 Configuring Internet Key Exchange for IPsec VPN 」 の各章を参照してください。

設定作業

IKE：アグレッシブ モードの開始機能の設定作業については、次の各項を参照してください。一覧内の各作業は、必須と任意に分けています。

• 「RADIUS トンネル アトリビュートの設定」 （必須）

• 「RADIUS トンネル アトリビュート設定の確認」 （任意）

設定例

ここでは、次の設定例について説明します。

• 「ハブの設定例」

• 「スポークの設定例」

• 「RADIUS ユーザ プロファイル例」

コマンド リファレンス

次のコマンドは、このモジュールに記載されている機能または機能群において、新たに導入または変更されたものです。

• crypto isakmp peer

• set aggressive-mode client-endpoint

• set aggressive-mode password

これらのコマンドの詳細については、『Cisco IOS Security Command Reference』（ http://www.cisco.com/en/US/docs/ios/security/command/reference/sec_book.html ）を参照してください。

Cisco IOS の全コマンドを参照する場合は、Command Lookup Tool（ http://tools.cisco.com/Support/CLILookup ）にアクセスするか、または『 Master Command List 』を参照してください。