第2回はIPIPによる接続（NTTフレッツ網）の設定・検証を行います。

拠点間でVPN接続を行う場合、インターネット回線を介した「インターネットVPN」とインターネット回線を介さない「IP-VPN」があります。 第1回で紹介した VPNクライアントソフトウェア によるリモートアクセスはインターネットVPNになります。

インターネットVPNはインターネット網を使って仮想の通信トンネルを構成します。
そのままでは通信データの改ざん、盗聴をされてしまうのでIPsecなどを利用して通信内容を暗号化します。

IP-VPNはインターネット網を介さないで「通信事業者が独自に構成した網（NTTのフレッツVPNワイドなど）」を利用して「仮想の通信トンネル」を構成します。

「IPIP」とは何か？
暗号・認証処理を行わないで通信のトンネルを構成します。
暗号化されていないので通常のパケット転送とほぼ同等の通信速度を実現することができます。
インターネット網を介さないフレッツVPNワイドと組み合わせることでセキュリティと通信の高速性の両方を兼ね備えたネットワークを構築することができます。

今回はNTTのフレッツVPNワイドを利用して「IPIP」でVPNを構築します。
また、IPIPと同様にフレッツVPNワイドを利用して「IPsec」でVPNを構築してIPIPとIPsecの通信速度の比較を行います。

「IPsec」とは何か？
暗号技術を使って、IPパケット単位でデータの改ざん防止や秘匿機能を提供します。
これを使うことで通信の途中で内容を覗き見られたり改ざんされることを防ぎます。

ネットワーク構成

今回検証するネットワーク構成になります。

フレッツVPNワイドを利用してIPIPでVPNを構築します。
拠点Aにある「192.168.0.102」のパソコンから拠点Bにある「192.168.1.201」のパソコンにアクセスを行い、通信速度の検証をします。

ルータの設定

■拠点Aにある192.168.0.1の設定内容

ip route default gateway tunnel 2
ip route 192.168.1.0/24 gateway tunnel 2
ip route 192.168.100.1 gateway pp 1
ip lan1 address 192.168.0.1/24
pp select 1
 pp always-on on
 pppoe use lan2
 pp auth accept pap chap
 pp auth myname (フレッツVPNワイドの接続ID) (フレッツVPNワイドのパスワード)
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ip pp address 192.168.100.2/32
 pp enable 1
tunnel select 2
 tunnel encapsulation ipip
 tunnel endpoint address 192.168.100.2 192.168.100.1
 tunnel enable 2
nat descriptor type 1 masquerade

■拠点Bにある192.168.1.1の設定内容

ip route default gateway tunnel 1
ip route 192.168.0.0/24 gateway tunnel 1
ip route 192.168.100.2 gateway pp 2
ip lan1 address 192.168.1.1/24
pp select 2
 pp always-on on
 pppoe use lan2
 pp auth accept pap chap
 pp auth myname (フレッツVPNワイドの接続ID) (フレッツVPNワイドのパスワード)
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ip pp address 192.168.100.1/32
 ip pp mtu 1454
 pp enable 2
tunnel select 1
 tunnel encapsulation ipip
 tunnel endpoint address 192.168.100.1 192.168.100.2
 tunnel enable 1
nat descriptor type 1 masquerade

それぞれのルータを設定した後、コマンドプロンプトからpingで通信が確立されていることが確認できます。

IPsecとIPIPの通信速度を比較！

フレッツVPNワイドを利用して「IPIP」と「IPsec」それぞれのVPNを構築し通信速度の比較を行いました。

■IPIPの結果

※アップロード：32.4Mbps　　ダウンロード：45.2Mbps

■IPsecの結果

※アップロード：26.7Mbps　　ダウンロード：34.8Mbps

上記の結果からIPIPは暗号化がされていないので通信速度がIPsecより速いことがわかります。
フレッツVPNワイドを利用する場合、IPIPでVPNを構築すればいいかというとそうもいきません。

なぜかというと、IPIPはトンネルセッションのキープアライブがないのでIPSecのようにセッション断を検知することができません。

例えば
フレッツVPNワイドを利用してIPIPでVPNを構築した場合、NTTの光回線で工事や障害が発生した場合、NTTの光回線が復旧してもIPIPがセッション断を検知することができないのでIPIPのセッションをすぐに接続できず拠点間の通信復旧までに時間がかかる可能性があります。

一方、IPsecでVPNを構築した場合、通信断け検知しNTTの光回線が復旧するとIPsecのセッションもすぐに通信が開通します。

企業などで利用する場合は通信速度よりも安定性を重視する場合が多いのでIPsecを利用したVPN構築が一般的と言えます。

通信速度を重視しIPIPを利用する場合は回線断などによりセッションが切断された時の対処方法を明確にして対応できるようにすることが大切です。

次回は
LANポートやMACアドレスなどの組み合わせで、不正な通信を遮断　について紹介します。

この記事を読んだ方はこちらも読まれています

YAMAHAルータでPPTPとL2TP/IPsecを併用する

今ではインターネットは当たり前のように使われています。
企業や家庭でインターネットを接続する時はルータを利用し複数のパソコン、スマートフォンやタブレットをインターネットにつなげています。

ルータにはさまざまな機種があり家庭向けと企業向けで備わっている機能が違います。
今回は企業向けのルータ　YAMAHA　RTX1200を使って設定・検証を行います。

全4回に分けてそれぞれの設定・検証を紹介します。

第1回　VPNクライアントソフトウェアによるリモートアクセス（インターネットVPN）
第2回　IPIPによる接続（NTTフレッツ網を利用したVPN）
第3回　LANポートやMACアドレスなどの組み合わせで、不正な通信を遮断
第4回　部署毎に社内ネットワークを分離（VLAN）

VPNクライアントソフトウェアによるリモートアクセス

 第1回目はVPNクライアントソフトウェアによるリモートアクセスの設定について取り上げます。

まずはVPNとは何か？
VPNとはVirtual Private Networkの略になります。
インターネットに接続されている利用者の間に通信のトンネルを構成して
第3者がアクセスすることのできない仮想的なプライベートなネットワークを作ることです。

VPNでできることは？
インターネットを利用して企業の拠点間を専用線のように相互接続しセキュリティを高めた通信が可能です。
例えば本社に設置されているファイルサーバが遠く離れた支店からでもアクセスしファイルの閲覧・編集ができます。

VPNクライアントソフトウェアとは？
クライアントソフトをパソコンにインストールすることによってルータとVPN接続を可能にします。

リモートアクセスとは？
リモートアクセスとはクライアントパソコンとVPNルータで接続する方法です。

ネットワーク構成

 今回検証するネットワーク構成です。
外出先のクライアントパソコン（192.168.10.1）からVPNで本社内のサーバ（192.168.0.101）に
アクセスできるように設定を行います。

ルータの設定

今回はYAMAHA　RTX1200を利用します。
まずはルータの設定内容を記載します。
VPNはIPsecを使った内容です。

ip route default gateway pp 1
ip route 192.168.10.0/24 gateway tunnel 1
ip filter source-route on
ip filter directed-broadcast on
ip lan1 address 192.168.0.1/24
ip lan1 proxyarp on
##PPPoEの設定##
pp select 1
 pp keepalive use lcp-echo
 pp always-on on
 pppoe use lan2
 pppoe auto connect on
 pppoe auto disconnect off
 pp auth accept pap chap
 pp auth myname ISP接続アカウント ISPパスワード
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ip pp mtu 1454
 ip pp secure filter in 1020 1030 1040 1041 2000
 ip pp secure filter out 1010 1011 1012 1013 1014 1015 3000 dynamic 100 101 102
 103 104 105 106 107
 ip pp nat descriptor 1
 pp enable 1
##VPN（IPsec）の設定##
tunnel select 1
 ipsec tunnel 101
  ipsec sa policy 101 1 esp aes-cbc sha-hmac
  ipsec ike keepalive use 1 off
  ipsec ike pre-shared-key 1 text (事前共有鍵)
  ipsec ike remote address 1 any
  ipsec ike remote name 1 vpn-client(クライアントの名前)
 ip tunnel tcp mss limit auto
 tunnel enable 1
##フィルタ設定##
ip filter 1010 reject * * udp,tcp 135 *
ip filter 1011 reject * * udp,tcp * 135
ip filter 1012 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 1013 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 1014 reject * * udp,tcp 445 *
ip filter 1015 reject * * udp,tcp * 445
ip filter 1020 reject 192.168.0.0/24 * * * *
ip filter 1030 pass * 192.168.0.0/24 icmp * *
ip filter 1040 pass * 192.168.0.1 udp * 500
ip filter 1041 pass * 192.168.0.1 esp * *
ip filter 2000 reject * *
ip filter 3000 pass * *
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * netmeeting
ip filter dynamic 106 * * tcp
ip filter dynamic 107 * * udp
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 192.168.0.1 udp 500
nat descriptor masquerade static 1 2 192.168.0.1 esp
ipsec auto refresh on
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.0.51-192.168.0.100/24
dns server pp 1
dns private address spoof on

VPNクライアントソフトウェアの設定

続いてWindows7にインストールしたYAMAHAのVPNクライアントソフトの設定です。
クライアントソフトは「YMS-VPN7」を利用しました。

（1）・・・任意の名前を設定します。
（2）・・・RTX1200設定内容30行目の　事前共有鍵を設定します。
（3）・・・（2）と同じパスワードを再度設定します。
（4）・・・RTX1200設定内容32行目の　ipsec ike remote name　の（クライアントの名前）を設定します。
（5）・・・RTX1200の固定グローバルIPアドレスを設定します。
（6）・・・RTX1200設定内容28行目の内容と同じ設定にします。
（7）・・・RTX1200設定内容28行目の内容と同じ設定にします。
（8）・・・RTX1200のLAN側IPアドレスを設定します。
（9）・・・RTX1200のトンネル経由設定のIPアドレスを設定します。

設定が終ったら「接続制御」内の「接続ボタン」をクリックします。
正常にVPN接続ができると「未接続」から「接続中」になります。
※コマンドプロンプトからpingで通信が確立されていることが確認できます。

IPsecとPPTPの通信速度の違い

IPsecとPPTPで通信速度を比べた場合、どのくらい速度差がでるか検証を行いました。
IPsecはVPNクライアントソフトウェアを利用、PPTPはWindowsPPTP接続で試しました。
通信・パソコン環境は同じパソコン・同じ回線を使い検証を行いました。

■IPsecの結果

■PPTPの結果

※PPTP接続した時、VPNルータから割り当てられた
　IPアドレスは「192.168.0.201」になります。

上記の結果からIPsec接続の方が通信速度が速いという結果でした。

今回IPsec接続するために利用したソフトウェアは有料になります。
クライアントパソコンの台数が複数ある場合は、その台数分もしくは同時接続する台数分の
ライセンス費用が必要になります。

一方、PPTP接続の場合はWindowsのOSにPPTPクライアントとしての機能があります。
クライアントパソコンの台数が増えても費用が掛かることはありません。
今回のPPTP接続もWindowsのPPTPクライアント機能を利用して接続を行いました。

弊社ではセキュリティ面など総合的に考えた場合IPsecを利用した接続を勧め致しますが、
通信速度、セキュリティ、価格面、それぞれのご要望に沿った内容でご提案しております。
それぞれの利用環境をしっかりと把握してVPN環境の構築を行っていくのが大切です。

次回は
IPIPによる接続（NTTフレッツ網を利用したVPN）について紹介します。

この記事を読んだ方はこちらも読まれています

YAMAHAルータでPPTPとL2TP/IPsecを併用する YAMAHAルータでワンタイムパスワードを設定してみた