【Fortigate】サイト間IPSec設定（PPPoE網間接続）と動作確認 FortiOS6.0.9

PPPoE網を介して、センタと拠点のFortiGate間にサイト間IPsecを設定し、動作を確認します。

暗号化アルゴリズムなどは初期値のままにして、まずIPsecで拠点からセンタへ接続できる最小の設定を確認します。検証したFortiOSのバージョンは6.0.9です。

構成とルーティングの方針

センタ（Center）と拠点（Branch）のFortiGateは、どちらもwan1でPPPoE網に接続しています。センタのLANにはインターネット向けのルータ（192.168.1.254）もあります。

センタは一般にインターネットにも接続されているため、デフォルトルートはセンタのインターネット側に向けます。そのため、PPPoE網から取得するデフォルトルートは使いません。拠点も、IPsecの設定後はデフォルトルートの対象となる通信をトンネルに流すので、PPPoE網からのデフォルトルートは使いません。

PPPoE網から取得するデフォルトルートを使わないと、対向のFortiGateにも届かなくなります。IPsecの接続には対向のアドレスへの通信が必要なので、対向のアドレス宛のルートだけをPPPoE網向けに追加します。ルートの方針は次のとおりです。

通信は拠点からセンタへの方向だけを許可します。センタ発で拠点へ向かう通信は、この記事では許可しません。

センタ側のルーティング設定（IPsec設定前）

PPPoE網側のルーティング設定

現在、センタ側はPPPoE網からデフォルトルートを学習しています。

今回の構成では、デフォルトルートはインターネット向けにする必要があります。PPPoE網からデフォルトルートを学習しないよう、サーバからデフォルトゲートウェイを取得 を無効にします。

OKをクリックすると、IPアドレスが自動的に再取得されます。そのあと、デフォルトゲートウェイを学習していないことを確認できます。

ただし、デフォルトゲートウェイを学習しないようにしたことで、拠点側のFortiGateに疎通できなくなりました。

CENTER

CENTER # execute ping 128.1.1.2
PING 128.1.1.2 (128.1.1.2): 56 data bytes
sendto failed
sendto failed
sendto failed
sendto failed
sendto failed
--- 128.1.1.2 ping statistics ---
5 packets transmitted, 0 packets received, 100% packet loss
CENTER # 

拠点側のFortiGateへの接続はIPsecで必要になるので、128.1.1.2だけをPPPoE網にルーティングします。

ネットワーク ›› スタティックルート から新規作成をクリックし、wan1インタフェース向けに128.1.1.2/32宛のルートを追加します。

モニタ ›› ルーティングモニタ を確認すると、追加したルートが反映されています。

もう一度、拠点側へpingを実行しますが、疎通できません。スタティックで追加したルートのインタフェースは、wan1ではなくppp1にする必要があります。ただし、GUIではppp1を選択できないため、CLIで設定を変更します。追加したスタティックルートの設定は次のとおりです。

CENTER

CENTER # show router static
config router static
    edit 1
        set dst 128.1.1.2 255.255.255.255
        set gateway 128.128.128.128
        set device "wan1"
    next
end

このルートに対して、set dynamic-gateway enable を設定します。

CENTER

CENTER # config router static
CENTER (static) # edit 1
CENTER (1) # set dynamic-gateway enable
CENTER (1) # end


CENTER # show router static
config router static
    edit 1
        set dst 128.1.1.2 255.255.255.255
        set device "wan1"
        set dynamic-gateway enable
    next
end

モニタ ›› ルーティングモニタ を確認すると、インタフェースがppp1に変わっています。

これで、拠点側のFortiGateへ疎通できるようになりました。

CENTER

CENTER # execute ping 128.1.1.2
PING 128.1.1.2 (128.1.1.2): 56 data bytes
64 bytes from 128.1.1.2: icmp_seq=0 ttl=254 time=0.4 ms
64 bytes from 128.1.1.2: icmp_seq=1 ttl=254 time=0.3 ms
64 bytes from 128.1.1.2: icmp_seq=2 ttl=254 time=0.2 ms
64 bytes from 128.1.1.2: icmp_seq=3 ttl=254 time=0.3 ms
64 bytes from 128.1.1.2: icmp_seq=4 ttl=254 time=0.3 ms
--- 128.1.1.2 ping statistics ---
5 packets transmitted, 5 packets received, 0% packet loss
round-trip min/avg/max = 0.2/0.3/0.4 ms

インターネットへのデフォルトルートの設定

ネットワーク ›› スタティックルート から、インターネット向けにゲートウェイアドレス192.168.1.254のデフォルトルート（0.0.0.0/0.0.0.0）を設定します。

モニタ ›› ルーティングモニタ で、デフォルトルートが追加されていることを確認できます。

拠点側のルーティング設定（IPsec設定前）

PPPoE網側のルーティング設定

拠点側もPPPoE網からデフォルトルートを学習しています。ただし、IPsecの設定後は、デフォルトルートの対象となる通信がIPsecトンネルを通ります。そのため、センタ側と同様に、サーバからデフォルトゲートウェイを取得 を無効にします。

OKをクリックすると、IPアドレスを再取得し、デフォルトゲートウェイを学習していないことを確認できます。

センタ側と同じく、拠点からセンタのFortiGateに疎通できなくなります。128.1.1.1/32向けのスタティックルートを、PPPoE網向けに設定します。

CLIでの設定も必要です。

Branch

Branch # show router static
config router static
    edit 1
        set dst 128.1.1.1 255.255.255.255
        set gateway 128.128.128.128
        set device "wan1"
    next
end
Branch # config router static
Branch (static) # edit 1
Branch (1) # set dynamic-gateway enable
Branch (1) # end

Branch # show router static
config router static
    edit 1
        set dst 128.1.1.1 255.255.255.255
        set device "wan1"
        set dynamic-gateway enable
    next
end

モニタ ›› ルーティングモニタ を確認すると、追加したルート128.1.1.1/32のインタフェースがppp1であることを確認できます。

これで、拠点からセンタのPPPoE網までの疎通ができるようになりました。

Branch

Branch # execute ping 128.1.1.1
PING 128.1.1.1 (128.1.1.1): 56 data bytes
64 bytes from 128.1.1.1: icmp_seq=0 ttl=254 time=0.5 ms
64 bytes from 128.1.1.1: icmp_seq=1 ttl=254 time=0.3 ms
64 bytes from 128.1.1.1: icmp_seq=2 ttl=254 time=0.3 ms
64 bytes from 128.1.1.1: icmp_seq=3 ttl=254 time=0.2 ms
64 bytes from 128.1.1.1: icmp_seq=4 ttl=254 time=0.2 ms
--- 128.1.1.1 ping statistics ---
5 packets transmitted, 5 packets received, 0% packet loss
round-trip min/avg/max = 0.2/0.3/0.5 ms
Branch #  

IPsecトンネル設定

センタ側

VPN ›› IPsecトンネル を選択し、新規作成をクリックします。

任意の名前（今回は拠点向けということで To_Branch）を設定し、カスタムを選択して、次へをクリックします。

次の画面が表示されます。変更する箇所は次の3つです。

• IPアドレス：対向のFortiGateのIPアドレスを設定します（拠点側の128.1.1.2）。
• インタフェース：出力インタフェースを設定します（wan1）。
• 事前共有鍵：任意の文字列です。対向のFortiGateと合わせる必要があります。

次に下へスクロールし、フェーズ2セレクタの高度な設定を展開します。下のほうにあるオートネゴシエーションを有効にします。自動鍵キープアライブも有効になります。

拠点側

対向のIPアドレス以外は、センタ側と同様に設定します。名前は To_Center にします。フェーズ2のオートネゴシエーションも、センタ側と同じく有効にします。

トンネルインタフェースの確認

ネットワーク ›› インタフェース を確認すると、センタ側、拠点側それぞれのwan1にトンネルインタフェースが追加されています。

この時点では、トンネルインタフェースはダウン状態です。

ルーティング設定

センタ側

センタ側は、拠点の192.168.2.0/24をトンネルインタフェース経由で接続するように、ルートを追加します（インタフェースはTo_Branch）。

拠点側

拠点側は、センタ側向けのすべての通信がトンネルインタフェース経由になるように、デフォルトルートを追加します（インタフェースはTo_Center）。

ポリシー設定

トンネルインタフェースを通るセキュリティポリシーを設定します。拠点からセンタ側への通信をすべて許可します（センタ発で拠点への通信は、今回は許可しません）。

センタ側のポリシー

送信元インタフェースをTo_Branch、宛先インタフェースをinternalとして、すべての通信を許可するポリシーを設定します。NATは無効にします。

拠点側のポリシー

送信元インタフェースをinternal、宛先インタフェースをTo_Centerとして、すべての通信を許可するポリシーを設定します。NATは無効にします。

ポリシーを設定したあと、トンネルインタフェースがアップしました。

動作確認

モニタ ›› IPsecモニタ を確認すると、IPsecトンネルがアップしています。

拠点の端末からも、センタ側のLANの端末（192.168.1.110）へ疎通できました。

C:¥>ping 192.168.1.110 192.168.1.110 に ping を送信しています 32 バイトのデータ:1192.168.1.110 からの応答: バイト数 =32 時間 <1ms TTL=62192.168.1.110 からの応答: バイト数 =32 時間 =1ms TTL=62192.168.1.110 からの応答: バイト数 =32 時間 =1ms TTL=62192.168.1.110 からの応答: バイト数 =32 時間 =1ms TTL=62 192.168.1.110 の ping 統計:2    パケット数: 送信 = 4、受信 = 4、損失 = 0 (0% の損失)、ラウンド トリップの概算時間 (ミリ秒):    最小 = 0ms、最大 = 1ms、平均 = 0ms

TCP MSS調整

PPPoEとIPsecを経由してTCP通信をする場合は、パケットが大きすぎて途中で届かなくならないように、MSS（Maximum Segment Size）を調整します。

通常のイーサネットのMTUは1500です。PPPoEでは、PPPoEのヘッダ分だけMTUが小さくなります（標準では1492）。フレッツのPPPoEではMTUが1454になります。さらにIPsecのヘッダが付くので、PPPoE＋IPsecのMTUはさらに小さくなります。

MSSは、MTUからIPヘッダ（20バイト）とTCPヘッダ（20バイト）の計40バイトを引いた値です。IPsecのオーバーヘッドを64バイトとして計算すると、PPPoE＋IPsecでのMSSは1350になります。

FortiGateでは、ポリシー単位でMSSを変更できます。

CENTER

CENTER # config firewall policy
CENTER (policy)# edit 2
CENTER (2) set tcp-mss-sender 1350
CENTER (2) set tcp-mss-receiver 1350
CENTER (2) end
CENTER #

暗号化アルゴリズムなどの特別な要件がない場合に、IPsecで最低限必要になる接続手順を確認しました。

うまくいかないときの確認

まとめ

前提となるPPPoEの設定は 【Fortigate】 PPPoE設定と動作確認 FortiOS6.0.9 から参照できます。