IPsecを使用したVPN拠点間接続(2拠点) + 内蔵無線WAN(拠点側) : コマンド設定 + NVR700W Web GUI設定

管理番号：YMHRT-3881
（最終更新日: 2023/7/12）

本設定例では、IPsecトンネル機能と内蔵無線WAN機能を使用しています。

IPsecトンネル機能の対応機種は、RTX5000、RTX3510、RTX3500、RTX1300、RTX1220、RTX1210、RTX830、RTX810、NVR700W、FWX120、vRXです。

内蔵無線WAN機能の対応機種は、NVR700Wです。

図 IPsecを使用したVPN拠点間接続(2拠点) + 内蔵無線WAN(拠点側)

本社は有線回線、拠点は携帯電話回線で、拠点側から本社にリモートアクセスVPN接続を行う設定例です。
有線回線未提供の拠点や臨時店舗から、本社にアクセスする場合などにご利用ください。
本設定例では、拠点に設定した名前でVPN接続を行います。拠点側 NVR700WのWAN側IPアドレスは、不定で構いません。

光回線に接続するためには、別途ONUが必要です。
NVR700Wは、本体のONUポートに小型ONUを装着することで、光回線に接続できます。

内蔵無線WAN機能を使用するためには、3G/LTE 携帯電話通信に対応したSIMカードが必要です。使用可能なSIMカードの詳細は、内蔵無線WAN 対応SIMカードをご覧ください。
※SIMカードをNVR700WのSIMカードスロットに挿入するときは、必ず電源を切った状態で行ってください。

通信制限について

データ通信(パケット通信)の契約が従量制サービスなどの場合、長時間の通信や大容量データのやりとりで高額な料金が発生します。それを防ぐために、通信時間とデータ長に上限を設定できます。上限に達した場合、通信中であれば通信を強制終了し、以降は発信・接続を停止します。
通信制限の設定方法は、内蔵無線WAN 通信制限についてをご覧ください。

対応機種のうち、設定例を掲載している機種は、以下のとおりです。

	機種	掲載内容	備考
本社	RTX5000 RTX3510 RTX3500 RTX1300 RTX1220 RTX1210 RTX830 RTX810 NVR700W	コマンド設定例	IPsecトンネル機能
拠点	NVR700W	Web GUI設定例	IPsecトンネル機能、内蔵無線WAN機能

本社ルーターの設定例

下記の設定（Config）を取り出すことができます。

ゲートウェイの設定	ip route default gateway pp 1 ip route 192.168.2.0/24 gateway tunnel 1
LANインターフェースの設定（LAN1ポートを使用）	ip lan1 address 192.168.1.1/24
WANインターフェースの設定（LAN2ポートを使用）	pp select 1 pp always-on on pppoe use lan2 pp auth accept pap chap pp auth myname (ISPへ接続するID) (ISPへ接続するパスワード) ppp lcp mru on 1454 ppp ipcp msext on ip pp address (本社の固定グローバルIPアドレス) ppp ccp type none ip pp secure filter in 200003 200020 200021 200022 200023 200024 200025 200030 200032 200100 200101 200102 ip pp secure filter out 200013 200020 200021 200022 200023 200024 200025 200026 200027 200099 dynamic 200080 200081 200082 200083 200084 200085 200098 200099 ip pp nat descriptor 1000 pp enable 1
VPN(IPsec)の設定（共通項目）	ipsec auto refresh on
VPN(IPsec)の設定	tunnel select 1 ipsec tunnel 1 ipsec sa policy 1 1 esp aes-cbc sha-hmac ipsec ike keepalive log 1 off ipsec ike keepalive use 1 on heartbeat 10 6 ipsec ike nat-traversal 1 on ipsec ike pre-shared-key 1 text (事前共有鍵) ipsec ike remote address 1 any ipsec ike remote name 1 (拠点 NVR700Wに設定した名前) key-id ip tunnel tcp mss limit auto tunnel enable 1
フィルターの設定	ip filter 200000 reject 10.0.0.0/8 * * * * ip filter 200001 reject 172.16.0.0/12 * * * * ip filter 200002 reject 192.168.0.0/16 * * * * ip filter 200003 reject 192.168.1.0/24 * * * * ip filter 200010 reject * 10.0.0.0/8 * * * ip filter 200011 reject * 172.16.0.0/12 * * * ip filter 200012 reject * 192.168.0.0/16 * * * ip filter 200013 reject * 192.168.1.0/24 * * * ip filter 200020 reject * * udp,tcp 135 * ip filter 200021 reject * * udp,tcp * 135 ip filter 200022 reject * * udp,tcp netbios_ns-netbios_ssn * ip filter 200023 reject * * udp,tcp * netbios_ns-netbios_ssn ip filter 200024 reject * * udp,tcp 445 * ip filter 200025 reject * * udp,tcp * 445 ip filter 200026 restrict * * tcpfin * www,21,nntp ip filter 200027 restrict * * tcprst * www,21,nntp ip filter 200030 pass * 192.168.1.0/24 icmp * * ip filter 200031 pass * 192.168.1.0/24 established * * ip filter 200032 pass * 192.168.1.0/24 tcp * ident ip filter 200033 pass * 192.168.1.0/24 tcp ftpdata * ip filter 200034 pass * 192.168.1.0/24 tcp,udp * domain ip filter 200035 pass * 192.168.1.0/24 udp domain * ip filter 200036 pass * 192.168.1.0/24 udp * ntp ip filter 200037 pass * 192.168.1.0/24 udp ntp * ip filter 200099 pass * * * * * ip filter 200100 pass * 192.168.1.1 udp * 500 # 注釈1 ip filter 200101 pass * 192.168.1.1 esp * * # 注釈1 ip filter 200102 pass * 192.168.1.1 udp * 4500 # 注釈2 ip filter 500000 restrict * * * * * ip filter dynamic 200080 * * ftp ip filter dynamic 200081 * * domain ip filter dynamic 200082 * * www ip filter dynamic 200083 * * smtp ip filter dynamic 200084 * * pop3 ip filter dynamic 200085 * * submission ip filter dynamic 200098 * * tcp ip filter dynamic 200099 * * udp
NATの設定	nat descriptor type 1000 masquerade nat descriptor address outer 1 (本社の固定グローバルIPアドレス) nat descriptor masquerade static 1000 1 192.168.1.1 udp 500 # 注釈1 nat descriptor masquerade static 1000 2 192.168.1.1 esp # 注釈1 nat descriptor masquerade static 1000 3 192.168.1.1 udp 4500 # 注釈2
DHCPの設定	dhcp service server dhcp server rfc2131 compliant except remain-silent dhcp scope 1 192.168.1.2-192.168.1.191/24
DNSの設定	dns host lan1 dns server (ISPから指定されたDNSサーバーのIPアドレス) dns private address spoof on

[注釈の説明]

注釈1:
VPN(IPsec)に関係するパケットを通過させる設定です。

注釈2:
VPN(IPsec：NATトラバーサル機能を使用時)に関係するパケットを通過させる設定です。

拠点 NVR700Wの設定例

下記の設定（Config）を取り出すことができます。

設定の概要

以下の手順で設定を行います。

IPアドレス設定：各拠点のIPアドレスが重複しないように、LAN側のIPアドレスを変更します。
インターネット接続設定：WAN側インターフェース「内蔵無線WAN」で、インターネット接続の設定をします。
IPsecの設定：接続種別「IPsec」で、VPN接続の設定をします。

IPアドレス設定

1.NVR700Wの設定画面を開きます。

2.「かんたん設定」をクリックします。

3.「基本設定」をクリックします。

4.「LAN アドレス」をクリックします。

5.「設定」をクリックします。

6.「192.168.2.1」を入力して、「次へ」をクリックします。

7.入力内容を確認して問題がなければ、「設定の確定」をクリックします。
パソコンのIPアドレスを再取得してください。

8.「変更後のIPアドレスでトップページにアクセスし直す。」をクリックします。

インターネット接続設定

1.「プロバイダー接続」をクリックします。

2.「新規」をクリックします。

3.「内蔵無線WAN」を選択して、「次へ」をクリックします。

4.プロバイダーへの接続情報を入力して、「次へ」をクリックします。

設定名	任意の設定名
アクセスポイント名(APN)	キャリアまたはプロバイダーから指定されたアクセスポイント名
ユーザーID	キャリアまたはプロバイダーから指定された接続用のID
接続パスワード	キャリアまたはプロバイダーから指定された接続用のパスワード (または自分で変更したパスワード)

5.プロバイダーとの契約内容にしたがい、DNSサーバーアドレスの設定をして、「次へ」をクリックします。

6.フィルターの設定をして、「次へ」をクリックします。

7.設定内容を確認して問題がなければ、「設定の確定」をクリックします。

8.プロバイダー接続の設定が完了しました。

IPsecの設定

1.「VPN」をクリックします。

2.「拠点間接続」をクリックします。

3.「新規」をクリックします。

4.「IPsec」が選択されていることを確認して、「次へ」をクリックします。

5.IPsecに関する設定をして、「次へ」をクリックします。

ネットワーク環境	接続先のみ固定のグローバルアドレスまたはネットボランチDNSホスト名を持っている
自分側の設定 > 設定名	任意の設定名
自分側の設定 > ID	拠点の設定名
接続先の情報 > 接続先のホスト名またはIPアドレス	本社の固定グローバルIPアドレス
接続先と合わせる設定 > 認証鍵	事前共有鍵
接続先と合わせる設定 > 認証アルゴリズム	HMAC-SHA
接続先と合わせる設定 > 暗号アルゴリズム	AES-CBC

6.経路に関する設定をして、「次へ」をクリックします。

接続先のLAN側のアドレス	本社のLAN側ネットワークアドレス

7.入力内容を確認して問題がなければ、「設定の確定」をクリックします。

8.IPsecの設定が完了しました。

接続状態の確認

本社ルーター

・「show status pp 1」コマンドで、インターネットの接続状態が確認できます。

[コンソール]

# show status pp 1
PP[01]:
説明:
PPPoEセッションは接続されています ★
接続相手:
通信時間: 5分26秒
受信: 1862 パケット [738824 オクテット]  負荷: 0.0%
送信: 621 パケット [176842 オクテット]  負荷: 0.0%
PPPオプション
    LCP Local: Magic-Number MRU, Remote: CHAP Magic-Number MRU
    IPCP Local: IP-Address Primary-DNS(xxx.xxx.xxx.x) Secondary-DNS(xxx.xxx.xxx
.x), Remote: IP-Address
    PP IP Address Local: xxx.xxx.xx.xxx, Remote: xxx.xxx.xx.x
    CCP: None

[解説]
相手先との接続状態が表示されます。xxxの部分は、IPアドレスが表示されます。

コマンドの詳細は、"各相手先の状態の表示" をご覧ください。
RTX5000, RTX3510, RTX3500, RTX1300, RTX1220, RTX1210, RTX830, RTX810　NVR700W

・「show status tunnel」コマンドで、VPN接続の状態が確認できます。

[コンソール]

# show status tunnel 1
TUNNEL[1]:
説明:
  インタフェースの種類: IPsec ★
  トンネルインタフェースは接続されています ★
  開始: yyyy/mm/dd hh:mm:ss
  通信時間: 24分39秒
  受信: (IPv4) 0 パケット [0 オクテット]
        (IPv6) 0 パケット [0 オクテット]
  送信: (IPv4) 0 パケット [0 オクテット]
        (IPv6) 0 パケット [0 オクテット]

[解説]
トンネルインターフェースの接続状態が表示されます。

コマンドの詳細は、"トンネルインターフェースの状態の表示" をご覧ください。
RTX5000, RTX3510, RTX3500, RTX1300, RTX1220, RTX1210, RTX830, RTX810　NVR700W

拠点 NVR700W

[ダッシュボード] - [ガジェット] で以下を選択すると、接続状態が確認できます。

プロバイダー接続状態
VPN接続状態(拠点間)

【ご注意】
本設定例は、設定の参考例を示したもので、動作を保証するものではございません。
ご利用いただく際には、十分に評価・検証を実施してください。