ナビゲーション パス

[デバイス（Devices）] > [サイト間（Site To Site）]。その後、[+サイト間VPN（+ Site To Site VPN）] をクリックするか、リストされている VPN トポロジを編集します。[エンドポイント（Endpoint）] タブをクリックします。

フィールド

Device

展開するエンドポイント ノードを選択します。

• この Management Center で管理する Threat Defense デバイス。

• この Threat Defense で管理する Management Center ハイ アベイラビリティ コンテナ。

• [エクストラネット（Extranet）] デバイス。この Management Center の管理対象ではない任意のデバイス（シスコまたはサードパーティ）。

デバイス名（Device Name）

エクストラネットデバイスの場合のみ、このデバイスの名前を入力します。シスコでは、管理対象ではないデバイスとして識別できるような名前を付けることを推奨します。

インターフェイス（Interface）

エンドポイントとして管理対象デバイスを選択した場合は、その管理対象デバイスのインターフェイスを選択します。

「ポイントツーポイント」展開の場合、ダイナミック インターフェイスを使用してエンドポイントを設定することもできます。ダイナミック インターフェイスを使用したエンドポイントはエクストラネットデバイスとのみペアリングできます。管理対象デバイスを持つエンドポイントとはペアリングできません。

[デバイス（Devices）] > [デバイス管理（Device Management）] > [デバイスの追加/編集（Add/Edit device）] > [インターフェイス（Interfaces）] でデバイスのインターフェイスを設定できます。

IP アドレス（IP Address）

• Management Center の管理対象デバイスではないエクストラネット デバイスを選択した場合は、エンドポイントの IP アドレスを指定します。

  エクストラネット デバイスの場合は、[スタティック（Static）] を選択して IP アドレスを指定するか、または [ダイナミック（Dynamic）] を選択してダイナミック エクストラネット デバイスを許可します。

• エンドポイントとして管理対象デバイスを選択した場合は、ドロップダウンリストから 1 つの IPv4 アドレスまたは複数の IPv6 アドレスを選択します。これらはすでにこの管理対象デバイスのインターフェイスに割り当てられている IP アドレスです。

• トポロジ内のすべてのエンドポイントは、同じ IP アドレッシング方式でなければなりません。IPv4 トンネルは IPv6 トラフィックを伝送でき、逆もまた同様です。保護ネットワークでは、トンネルするトラフィックで使用するアドレッシング方式が定義されます。

• 管理対象デバイスがハイ アベイラビリティ コンテナである場合は、インターフェイスのリストから選択します。

この IP はプライベートです（This IP is Private）

エンドポイントが、ネットワーク アドレス変換（NAT）を備えたファイアウォールの背後に配置されている場合は、このチェックボックスをオンにします。

（注）	このオプションは、ピアが同じ Management Center によって管理されている場合にのみ使用します。ピアがエクストラネットデバイスである場合は、このオプションは使用しません。

パブリック IP アドレス（Public IP address）

[この IP はプライベートです（This IP is Private）] チェックボックスがオンの場合は、ファイアウォールのパブリック IP アドレスを指定します。エンドポイントがレスポンダの場合は、この値を指定します。

接続タイプ（Connection Type）

許可されるネゴシエーションを、bidirectional、answer-only、または originate-only として指定します。接続タイプのサポートされる組み合わせは次のとおりです。

表 1. 接続タイプのサポートされる組み合わせ

リモート ノード	中央ノード
Originate-Only	Answer-Only
Bi-Directional	Answer-Only
Bi-Directional	Bi-Directional

証明書マップ（Certificate Map）

事前設定された証明書マップオブジェクトを選択するか、Add ( ) をクリックして証明書マップオブジェクトを追加します。証明書マップは、VPN 接続で有効になるには受信したクライアント証明書でどのような情報が必要かを定義します。詳細については、「証明書マップオブジェクト」を参照してください。

保護されたネットワーク（Protected Networks）

注意	ハブアンドスポークトポロジ：ダイナミッククリプトマップでトラフィックのドロップを避けるために、両方のエンドポイントで保護されたネットワークに any を選択しないでください。 保護されたネットワークが両方のエンドポイントで any として設定されている場合、トンネルで機能する暗号 ACL が生成されません。

この VPN エンドポイントによって保護されるネットワークを定義します。このエンドポイントによって保護されるネットワークを定義するサブネット/IP アドレスのリストを選択することで、ネットワークを選択することができます。Add ( )をクリックして、使用可能なネットワークオブジェクトから選択するか、新しいネットワークオブジェクトを追加します。ネットワーク オブジェクトの作成を参照してください。アクセスコントロールリストは、ここで選択されたものから生成されます。

• [サブネット/IPアドレス（ネットワーク）（Subnet/IP Address (Network)）]：VPN エンドポイントは同じ IP アドレスを持つことはできません。また、VPN エンドポイントペアの保護されたネットワークは重複することはできません。エンドポイントの保護されたネットワークに IPv4 または IPv6 エントリが含まれている場合、他のエンドポイントの保護されたネットワークは、同じタイプ（IPv4 または IPv6）のエントリを少なくとも 1 つ持っている必要があります。このようなエントリを持っていない場合、他のエンドポイントの IP アドレスが同じタイプであること、および保護されたネットワーク内でエントリが重複しないことが必要です。（IPv4 については/32 CIDR アドレスを使用し、IPv6 については/128 CIDR アドレス ブロックを使用します）。これらの両方のチェックに失敗すると、エンドポイントのペアは機能しません。

  （注）

  Management Center では、デフォルトでリバース ルート インジェクションが有効になっています。 [サブネット/IPアドレス（ネットワーク）（Subnet/IP Address (Network)）] はデフォルトの選択のままにします。 [保護されたネットワーク（Protected Networks）] を [任意（Any）] として選択し、デフォルトのルートトラフィックがドロップされることを確認した場合は、リバース ルート インジェクションを無効にします。[VPN] > [サイト間（Site to Site）] > [VPNの編集（edit a VPN）] > [IPsec] > [リバースルートインジェクションを有効にする（Enable Reverse Route Injection）] を選択します。設定変更を展開して、暗号マップ設定から set reverse-route（リバース ルート インジェクション）を削除し、リバース トンネル トラフィックのドロップを引き起こす NVP でアドバタイズされたリバースルートを削除します。

• [アクセス リスト（拡張）（Access List (Extended)）]：拡張アクセスリストは、GRE トラフィックや OSPF トラフィックなどの、このエンドポイントによって受け入れられるトラフィックのタイプを制御する機能を提供します。トラフィックは、アドレスまたはポートにより制限できます。Add ( )をクリックして、アクセス コントロール リスト オブジェクトを追加します。

  （注）	アクセス コントロール リストは、ポイントツーポイント トポロジでのみサポートされています。

NAT トラバーサルの有効化

ピア Threat Defense デバイス間に NAT デバイスがある場合に、これらのデバイス間のシームレス コミュニケーションを許可するには、このチェックボックスをオンにします。ハブアンドスポークトポロジの場合、このオプションはスポークでのみ使用できます。エンドポイントに対してこの機能を無効化にするには、このチェックボックスをオフにします。このパラメータは、トポロジ内のエンドポイントに対するピアごとの設定です。

グローバル NAT-T 設定を表示または設定するには、[VPNトポロジの追加/編集（Add/Edit VPN Topology）] ダイアログボックスで次の手順を実行します。

1. [詳細（Advanced）] タブをクリックします。

2. 左側のナビゲーションウィンドウで、[トンネル（Tunnel）] をクリックします。

3. [NAT設定（NAT Settings）] の [キープアライブ メッセージ トラバーサル（Keepalive Messages Traversal）] は、トポロジ内のすべてのエンドポイントに対して NAT -T を有効にするグローバル設定です。

VPNトラフィックをネットワークアドレス変換から除外する（Exempt VPN traffic from network address translation）

ネットワークアドレス変換（NAT）ルールの対象から VPN トラフィックを除外するには、このチェックボックスをオンにします。

NAT ルールの対象から VPN トラフィックを除外しない場合、トラフィックはドロップされるか、VPN トンネルを介してリモートデバイスにルーティングされません。このオプションを有効にすると、[NATポリシー（NAT policy）] ページ（[デバイス（Device）] > [NAT] > [NAT免除（NAT Exemptions）]）でデバイスの NAT 免除を表示できます。

内部ネットワークに直接接続された内部インターフェイス（Inside interfaces directly connected to the internal network）

保護されたネットワークが存在する内部インターフェイスのセキュリティゾーンまたはインターフェイスグループを指定します。デフォルトでは、内部インターフェイスは any です。

[+] をクリックして、1 つ以上の内部インターフェイスにマッピングできるセキュリティゾーンまたはインターフェイスグループから 1 つ以上のインターフェイスを設定します。セキュリティゾーンまたはインターフェイスグループのインターフェイスタイプがルーテッドであることを確認します。

詳細設定（Advanced Settings）

[ダイナミック リバース ルート インジェクションを有効にする（Enable Dynamic Reverse Route Injection）]：リバース ルート インジェクション（RRI）では、リモート トンネル エンドポイントによって保護されているネットワークおよびホストのルーティングプロセスに、ルートを自動的に組み込むことができます。ダイナミック RRI ルートは IPsec セキュリティ アソシエーション（SA）の確立成功時にのみ作成されます

（注）	ダイナミック RRI は IKEv2 でのみサポートされ、IKEv1 または IKEv1 + IKEv2 ではサポートされません。 ダイナミック RRI は、発信のみのピア、フルメッシュトポロジ、およびエクストラネットピアではサポートされていません。 ポイントツーポイントでは、1 つのピアでのみダイナミック RRI を有効にすることができます。 ハブとスポークの間では、1 つのエンドポイントでのみダイナミック RRI を有効にすることができます。 ダイナミック RRI は、ダイナミッククリプトマップと組み合わせることはできません。

[ピアへのローカルIDの送信（Send Local Identity to Peers）]：ローカル ID 情報をピアデバイスに送信するには、このオプションを選択します。リストから次のいずれかの [ローカルID構成（Local Identity Configuration）] を選択し、ローカル ID を設定します。

• [IPアドレス（IP address）]：ID にインターフェイスの IP アドレスを使用します。

• [自動（Auto）]：事前共有キーには IP アドレスを使用し、証明書ベースの接続には証明書 DN を使用します。

• [電子メールID（Email ID）]：ID に使用する電子メール ID を指定します。電子メール ID は最大 127 文字です。

• [ホスト名（Hostname）]：完全修飾ホスト名を使用します。

• [キーID（Key ID）]：ID に使用するキー ID を指定します。キー ID は 65 文字未満にする必要があります。

ローカル ID は、すべてのトンネルのグローバル ID ではなく、IKEv2 トンネルごとに一意の ID を設定するために使用されます。一意の ID を設定すると、Cisco Umbrella Secure Internet Gateway（SIG）に接続するために、Threat Defense が NAT の背後に複数の IPsec トンネルを持つことができます。

Cisco Umbrella での一意のトンネル ID の設定については、Cisco Umbrella SIG ユーザーガイド [英語] を参照してください。

[VPNフィルタ（VPN Filter）]：リストから拡張アクセスリストを選択するか、[追加（Add）] をクリックして新しい拡張アクセスリストオブジェクトを作成し、サイト間 VPN トラフィックをフィルタリングします。

VPN フィルタはセキュリティを強化し、拡張アクセスリストを使用してサイト間 VPN データをフィルタリングします。VPN フィルタ用に選択された拡張アクセスリストオブジェクトを使用すると、VPN トンネルに入る前に事前暗号化されたトラフィックと、VPN トンネルを出る復号されたトラフィックをフィルタリングできます。sysopt permit-vpn オプションを有効にすると、VPN トンネルからのトラフィックのアクセス コントロール ポリシー ルールがバイパスされます。sysopt permit-vpn オプションが有効になっている場合、VPN フィルタは、サイト間 VPN トラフィックの識別とフィルタリングに役立ちます。

（注）	VPN フィルタは、ポイント ツー ポイント トポロジおよびハブアンドスポークトポロジでのみサポートされます。メッシュトポロジではサポートされていません。

ハブアンドスポークトポロジの場合、特定のトンネルで別の VPN フィルタを有効にする必要がある場合に備えて、スポークエンドポイントでハブ VPN フィルタをオーバーライドすることを選択できます。

スポークのハブ VPN フィルタを無効にするには、[ハブでのVPNフィルタのオーバーライド（Override VPN Filter on the Hub）] オプションを選択します。[リモートVPNフィルタ（Remote VPN Filter）] 拡張アクセスリストオブジェクトを選択するか、上書きするアクセスリストを作成します。

（注）	エクストラネットデバイスをスポークとして使用する場合、[ハブでのVPNフィルタのオーバーライド（Override VPN Filter on the Hub）] オプションのみを使用できます。

sysopt permit-VPN の詳細については、Threat Defense のサイト間 VPN トンネルの詳細オプションを参照してください。

このトポロジに選択した IKE のバージョンの場合は、[IKEv1/IKEv2 設定（IKEv1/IKEv2 Settings）] を指定します。

（注）	このダイアログの設定は、トポロジ全体、すべてのトンネル、すべての管理対象デバイスに適用されます。

ナビゲーション パス

[デバイス（Devices）] > [サイト間（Site To Site）]。その後、[+サイト間VPN（+ Site To Site VPN）] をクリックするか、リストされている VPN トポロジを編集します。[IKE] タブをクリックします。

フィールド

ポリシー（Policy）

事前定義リストから必要な IKEv1 または IKEv2 ポリシーオブジェクトを選択するか、または使用する新しいポリシーオブジェクトを作成します。複数の IKEv1 および IKEv2 ポリシーを選択できます。IKEv1 と IKEv2 は、最大 20 個の IKE ポリシーをサポートしますが、値のセットはそれぞれ異なります。作成するポリシーのそれぞれに、固有のプライオリティを割り当てます。プライオリティ番号が小さいほど、プライオリティが高くなります。

詳細については、Threat Defense IKE ポリシーを参照してください。

認証タイプ（Authentication Type）

サイト間 VPN では、事前共有キーと証明書の 2 つの認証方式がサポートされています。2 つの方式の説明については、使用する認証方式の決定を参照してください。

（注）	IKEv1 をサポートする VPN トポロジでは、選択した IKEv1 ポリシー オブジェクトで指定した [認証方式（Authentication Method）] が、IKEv1 の [認証タイプ（Authentication Type）] 設定のデフォルトになります。これらの値は一致する必要があります。一致しないと設定がエラーになります。

• [事前共有自動キー（Pre-shared Automatic Key）]：Management Center により、この VPN の事前共有キーが自動的に定義されます。[事前共有キー長（Pre-shared Key Length）] を指定します。キーの文字数は 1 ～ 27 文字です。

  文字 "（二重引用符）は事前共有キーの一部としてサポートされていません。事前共有キーで " を使用した場合は、Secure Firewall Threat Defense 6.30 以降にアップグレードした後に必ず文字を変更してください。

• [事前共有手動キー（Pre-shared Manual Key）]：この VPN の事前共有キーを手動で割り当てます。[キー（Key）] を指定して、[キーの確認（Confirm Key）] に同じキーを再入力します。

  IKEv2 に対してこのオプションを選択すると、[16進数ベースの事前共有キーのみを適用する（Enforce hex-based pre-shared key only）] チェックボックスが表示されるので、必要に応じてオンにします。適用する場合は、キーの有効な 16 数値を、数字 0 ～ 9 または A ～ F を使用して、2 ～ 256 文字の偶数で入力する必要があります。

• [証明書（Certificate）]：VPN 接続の認証方法として証明書を使用する場合、ピアは PKI インフラストラクチャ内の CA サーバーからデジタル証明書を取得し、相互に認証するためにトレードします。

  [証明書（Certificate）] フィールドで、事前設定された証明書登録オブジェクトを選択します。この登録オブジェクトにより、管理対象デバイス上で同じ名前のトラストポイントが生成使用されます。証明書登録オブジェクトが関連付けられ、デバイスにインストールされ、登録プロセスが完了してから、トラストポイントが作成されます。

  トラストポイントとは、CA または ID ペアを表現したものです。トラストポイントには、CA の ID、CA 固有のコンフィギュレーション パラメータ、登録されている ID 証明書とのアソシエーションが含まれています。

  このオプションを選択する前に、次の点に注意してください。

  • トポロジ内のすべてのエンドポイントに証明書登録オブジェクトが登録されていることを確認します。証明書登録オブジェクトには、証明書署名要求（CSR）を作成し、指定された認証局（CA）からアイデンティティ証明書を取得するために必要な CA サーバー情報と登録パラメータが含まれています。証明書登録オブジェクトは、管理対象デバイスを PKI インフラストラクチャに登録し、VPN 接続をサポートするデバイス上にトラストポイント（CA オブジェクト）を作成するために使用されます。証明書登録オブジェクトの作成手順については、証明書の登録オブジェクトの追加を参照してください。エンドポイントにオブジェクトを登録する手順については、次のいずれかを参照してください。

    • 自己署名登録を使用した証明書のインストール

    • EST 登録を使用した証明書のインストール

    • SCEP の登録を使用した証明書のインストール

    • 手動登録を使用した証明書のインストール

    • PKCS12 ファイルを使用した証明書のインストール

    （注）	サイト間 VPN トポロジの場合、同じ証明書登録オブジェクトがトポロジ内のすべてのエンドポイントに登録されていることを確認します。詳細については、次の表を参照してください。

  • さまざまなシナリオの登録要件については、次の表を参照してください。一部のシナリオでは、特定のデバイスの証明書登録オブジェクトを上書きする必要があります。オブジェクトの上書き方法については、オブジェクト オーバーライドの管理を参照してください。

    証明書の登録タイプ	すべてのエンドポイントのデバイス ID 証明書の CA が同じ		すべてのエンドポイントのデバイス ID 証明書の CA が異なる
    	デバイス固有のパラメータが証明書登録オブジェクトで指定されていない	デバイス固有のパラメータが証明書登録オブジェクトで指定されている
    手動	上書きは不要	上書きが必要	上書きが必要
    EST	上書きは不要	上書きが必要	上書きが必要
    SCEP	上書きは不要	上書きが必要	上書きが必要
    PKCS	上書きが必要	上書きが必要	上書きが必要
    自己署名	N/A	N/A	N/A

  • Secure Firewall Threat Defense VPN 証明書の注意事項と制約事項記載されている VPN 証明書の制限事項を確認。

  （注）	Windows 認証局（CA）を使用する場合、デフォルトのアプリケーションポリシー拡張は IP セキュリティ IKE 中間です。このデフォルト設定を使用している場合は、選択したオブジェクトの [PKI証明書登録（PKI Certificate Enrollment）] ダイアログボックスの [キー（Key）] タブにある [詳細設定（Advanced Settings）] セクションで [IPsecキーの使用状況を無視（Ignore IPsec Key Usage）] オプションを選択する必要があります。それ以外の場合、エンドポイントでサイト間 VPN 接続を完了できません。

（注）	このダイアログの設定は、トポロジ全体、すべてのトンネル、すべての管理対象デバイスに適用されます。

クリプト マップ タイプ（Crypto-Map Type）

クリプト マップには、IPsec Security Association（SA; セキュリティ アソシエーション）を設定するために必要なすべてのコンポーネントが組み合わされています。2 つのピアが SA を確立しようとする場合は、それぞれに少なくとも 1 つの互換クリプト マップ エントリが必要です。IPsec セキュリティ ネゴシエーションでは、クリプトマップエントリに定義されたプロポーザルを使用して、そのクリプトマップの IPsec ルールによって指定されたデータフローが保護されます。この展開のクリプト マップにスタティックまたはダイナミックを選択します。

• [スタティック（Static）]：スタティック クリプト マップは、ポイントツーポイントまたは完全メッシュ VPN トポロジで使用します。

• [ダイナミック（Dynamic）]：実質的に、ダイナミック暗号マップによって、すべてのパラメータが設定されていない暗号マップ エントリが作成されます。設定されていないパラメータは、IPsec ネゴシエーションの結果として、リモート ピアの要件に合うようにあとで動的に設定されます。

  ダイナミック暗号マップ ポリシーは、ハブアンドスポークとポイントツーポイント VPN トポロジの両方に適用されます。これらのポリシーを適用するには、トポロジ内のピアの 1 つにダイナミック IP アドレスを指定し、このトポロジでダイナミック暗号マップが有効になっていることを確認します。フルメッシュ VPN トポロジでは、スタティック暗号マップポリシーのみを適用できます。

IKEv2 モード（IKEv2 Mode）

IPsec IKEv2 の場合のみ、カプセル化モードはトンネルに ESP 暗号化と認証を適用するために指定します。これにより、ESP が適用されるオリジナルの IP パケットの部分が決定されます。

• [トンネル モード（Tunnel mode）]：（デフォルト）カプセル化モードがトンネル モードに設定されます。トンネル モードでは、ESP 暗号化と認証が元の IP パケット全体（IP ヘッダーとデータ）に適用されるため、最終的な送信元アドレスと宛先アドレスが非表示になり、新しい IP パケットでペイロードになります。

  トンネルモードの主な利点は、エンドシステムを変更しなくても IPsec を利用できることです。このモードでは、ルータなどのネットワーク デバイスが IPsec のプロキシとして動作できます。つまり、ルータがホストに代わって暗号化を行います。送信元ルータがパケットを暗号化し、IPsec トンネルを使用して転送します。宛先ルータは元の IP データグラムを復号し、宛先システムに転送します。また、トラフィック分析から保護することもできます。トンネル モードを使用すると、攻撃者にはトンネルのエンドポイントしかわからず、トンネリングされたパケットの本来の送信元と宛先はわかりません（これらがトンネルのエンドポイントと同じ場合でも同様）。

• [転送優先（Transport preferred）]：ピアがサポートしていない場合、カプセル化モードは、トンネルモードにフォールバックするオプション付きの転送モードに設定されます。トランスポートモードでは、IP ペイロードだけが暗号化され、元の IP ヘッダーはそのまま使用されます。したがって、管理者は、VPN インターフェイスの IP アドレスと一致する保護されたネットワークを選択する必要があります。

  このモードには、各パケットに数バイトしか追加されず、パブリック ネットワーク上のデバイスに、パケットの最終的な送信元と宛先を認識できるという利点があります。転送モードでは、中間ネットワークでの特別な処理（たとえば QoS）を、IP ヘッダーの情報に基づいて実行できるようになります。ただし、レイヤ 4 ヘッダーが暗号化されるため、パケットの検査が制限されます。

• [転送必須（Transport required）]：カプセル化モードは転送モードのみに設定され、トンネルモードにフォールバックできます。転送モードをサポートしていない 1 つのエンドポイントがあるせいで、エンドポイントが転送モードを正常にネゴシエートできない場合、VPN 接続は行われません。

プロポーザル（Proposals）

選択した IKEv1 または IKEv2 メソッドのプロポーザルを指定するには、[編集（Edit）]（）をクリックします。利用可能な [IKEv1 IPsecプロポーザル（IKEv1 IPsec Proposals）] または [IKEv2 IPsecプロポーザル（IKEv2 IPsec Proposals）] オブジェクトから選択するか、または新しいプロポーザルを作成して選択します。詳細については、「IKEv1 IPsec プロポーザル オブジェクトの設定」および「IKEv2 IPsec プロポーザル オブジェクトの設定」を参照してください。

セキュリティ アソシエーション（SA）の強度適用の有効化（Enable Security Association (SA) Strength Enforcement）

このオプションを有効にすると、子 IPsec SA で使用される暗号化アルゴリズムが、親 IKE SA よりも強くなることはありません（キー内のビット数の観点から）。

リバース ルート インジェクションを有効にする（Enable Reverse Route Injection）

リバース ルート インジェクション（RRI）により、スタティック ルートは、リモート トンネル エンドポイントで保護されているネットワークとホストのルーティング プロセスに自動的に挿入されます。

Perfect Forward Secrecy の有効化（Enable Perfect Forward Secrecy）

暗号化された交換ごとに一意のセッション キーを生成および使用するために、Perfect Forward Secrecy（PFS）を使用するかどうかを指定します。固有のセッション キーを使用することで、後続の復号から交換が保護されます。また、交換全体が記録されていて、攻撃者がエンドポイント デバイスで使用されている事前共有キーや秘密キーを入手している場合であっても保護されます。このオプションを選択する場合は、[係数グループ（Modulus Group）] リストで、PFS セッション キーの生成時に使用する Diffie-Hellman キー導出アルゴリズムも選択します。

係数グループ（Modulus Group）

2 つの IPsec ピア間の共有秘密キーを互いに送信することなく取得するために使用する Diffie-Hellman グループ。係数が大きいほどセキュリティが強化されますが、処理時間が長くなります。2 つのピアに、一致する係数グループが設定されている必要があります。 オプションの詳しい説明については、使用する Diffie-Hellman 係数グループの決定を参照してください。

ライフタイム期間

セキュリティ アソシエーションが期限切れになる前に存続できる秒数。デフォルトは 28,800 秒です。

ライフタイム サイズ

特定のセキュリティ アソシエーションが期限切れになる前にそのセキュリティ アソシエーションを使用して IPsec ピア間を通過できるトラフィック量（KB 単位）。デフォルトは 4,608,000 KB です。無制限のデータは許可されていません。

ESPv3 設定（ESPv3 Settings）

着信 ICMP のエラーメッセージを検証（Validate incoming ICMP error messages）

IPsec トンネルを介して受信され、プライベート ネットワーク上の内部ホストが宛先の ICMP エラー メッセージを検証するかどうかを選択します。

「フラグメント禁止」ポリシーを有効にする（Enable 'Do Not Fragment' Policy）

IP ヘッダーに Do-Not-Fragment（DF）ビット セットを持つ大きなパケットを IPsec サブシステムがどのように処理するかを定義します。

ポリシー

• [DF ビッドのコピー（Copy DF bit）]：DF ビットを維持します。

• [DF ビッドのクリア（Clear DF bit）]：DF ビットを無視します。

• [DF ビットの設定（Set DF bit）]：DF ビットを設定して使用します。

トラフィック フロー機密保持（TFC）パケットを有効にする（Enable Traffic Flow Confidentiality (TFC) Packets）

トンネルを通過するトラフィック プロファイルをマスクするダミーの TFC パケットを有効にします。[バースト（Burst）]、[ペイロード サイズ（Payload Size）]、および [タイムアウト（Timeout）] パラメータを使用して、指定した SA で不定期にランダムな長さのパケットを生成します。

（注）	IPSec セキュリティ アソシエーション（SA）における、ランダムな長さおよび間隔のダミーのトラフィックフローの機密性（TFC）パケットを有効にできます。TFC をイネーブルにするには、IKEv2 IPsec プロポーザルが設定されている必要があります。 TFC パケットを有効にすると、VPN トンネルがアイドル状態になることが防止されます。そのため、TFC パケットを有効にすると、グループポリシーで設定された VPN アイドルタイムアウトが期待どおりに機能しません。

ここでは、サイト間 VPN の展開で指定できる詳細オプションについて説明します。それらの設定は、トポロジ全体、すべてのトンネル、およびすべての管理対象デバイスに適用されます。