IKEIKEIKE

IKE確立までのログ確立までのログ確立までのログ確立までのログ

Session

Index Date/Time Log Message

75 03/Dec/2002 07:21:11PM Isakmp ScSA AddSa: SPIs:C0307A1D/2FEF5A47 Loc:192.168.1.*

Rem:192.168.10.* (210.152.196.10) Prot:ESP-3DES[168]-HMAC-MD5 Exp:5:00:00 74 03/Dec/2002 07:21:10PM Isakmp cSA Notify from 210.152.196.10: Initial Contact

73 03/Dec/2002 07:21:10PM Isakmp ScSA AddPhase1: Rem:210.152.196.10, ID:"210.152.196.10",

Cookies: 930802BDF812A961/D061A0255F9D657E Prot:DES[56]-MD5, Exp:23:59:59 72 03/Dec/2002 07:21:10PM ShSecrt ScSA Found PW for: 210.152.196.10.

71 03/Dec/2002 07:21:09PM Isakmp ScSA Got policy for peer:210.152.196.1, I am initiator, authentication: shared 70 03/Dec/2002 07:21:09PM Isakmp ScSA Establish Request: 192.168.1.5 to 192.168.10.1

65 03/Dec/2002 06:52:15PM Monitor Evnt Red port link: 10Mb HD 49 03/Dec/2002 06:37:18PM Monitor Evnt Black port link: 10Mb HD

48 03/Dec/2002 06:37:18PM Sonic Init LAN interface link status is supported.

47 03/Dec/2002 06:37:18PM Monitor Evnt Gate is now Secure.

34 03/Dec/2002 06:37:08PM Isakmp ScSA Default sa lifetime: 720

33 03/Dec/2002 06:37:08PM Isakmp ScSA Current security level set to "Standard"

32 03/Dec/2002 06:37:08PM Isakmp Init Initialized and running.

2 03/Dec/2002 06:36:59PM RTC Init Initialized and running.

1 03/Dec/2002 06:36:59PM RtcNVRA Init Initialized and running.

Reported By

初期化と各種パラメータのセット初期化と各種パラメータのセット初期化と各種パラメータのセット初期化と各種パラメータのセットインタフェースのリンクアップインタフェースのリンクアップインタフェースのリンクアップインタフェースのリンクアップ

IKEネゴシエーション IKEネゴシエーション IKEネゴシエーション IKEネゴシエーションフェーズ 1 の確立

フェーズ 1 の確フェーズ 1 の確立立フェーズ 1 の確立

イニシエータとして動作イニシエータとして動作イニシエータとして動作イニシエータとして動作

フェーズ 2の確立フェーズ 2の確立フェーズ 2の確立フェーズ 2の確立

Network Se curity

Copyright (C) 2003 All rights reserved , by Matsushima & Yamada Copyright (C) 2003 All rights reserved , by Matsushima & YamadaCopyright (C) 2003 All rights reserved , by Matsushima & Yamada Copyright (C) 2003 All rights reserved , by Matsushima & Yamada

IPsec

56 56 56 56

パケットパケットパケットパケット

Phase 1 Phase 1 Phase 1

Phase 1セッションセッションセッションセッション

（メインモード）

Phase 2 Phase 2 Phase 2

Phase 2セッションセッションセッションセッション

暗号化通信暗号化通信暗号化通信暗号化通信

Network Se curity

IPsec

57 57 57 57

　2 22 2- -- -3. 3. 3. 3.　障害切り分け　障害切り分け　障害切り分け　障害切り分け

Network Se curity

IPsec

58 58 58 58

切り分け作業切り分け作業切り分け作業切り分け作業

Internet Internet Internet Internet

Router Router Router Router IPsec

IPsec IPsec IPsec gateway gateway gateway

gateway Router Router Router Router IPsec IPsec IPsec IPsec gateway gateway gateway gateway

パケットアナライザまたは試験用パケットアナライザまたは試験用パケットアナライザまたは試験用

パケットアナライザまたは試験用PC PC PCの接続箇所 PC の接続箇所の接続箇所の接続箇所

1 11

1 2 22 2 3 33 3 44 4 4

ブランチ拠点センター拠点

Server Server Server Server

Server

Server Server

Server

Network Se curity

IPsec

59 59 59 59

切り分け作業切り分け作業切り分け作業切り分け作業

Internet Internet Internet Internet

Router Router Router Router IPsec

IPsec IPsec IPsec gateway gateway gateway gateway

可能であればパケットアナライザ可能であればパケットアナライザ可能であればパケットアナライザ

可能であればパケットアナライザ1 11 1台で台で台でgateway 台で gateway gateway gatewayをををを挟んで両側の内外のパケットを同時に収集

挟んで両側の内外のパケットを同時に収集挟んで両側の内外のパケットを同時に収集挟んで両側の内外のパケットを同時に収集

パケットパケットパケットパケットアナライザアナライザアナライザアナライザ

記録時間にズレが無くなり、遅延などが把握しやすい

記録時間にズレが無くなり、遅延などが把握しやすい記録時間にズレが無くなり、遅延などが把握しやすい

記録時間にズレが無くなり、遅延などが把握しやすい

Network Se curity

IPsec

60 60 60 60

切り分け作業切り分け作業切り分け作業切り分け作業

• 障害が確認された拠点で現地調査障害が確認された拠点で現地調査障害が確認された拠点で現地調査障害が確認された拠点で現地調査

– ブランチで障害発生時は同時にセンターブランチで障害発生時は同時にセンターブランチで障害発生時は同時にセンターブランチで障害発生時は同時にセンター側でも調査した方が良い

側でも調査した方が良い側でも調査した方が良い側でも調査した方が良い

– しかし、実際には人員の手配が付かずどしかし、実際には人員の手配が付かずどしかし、実際には人員の手配が付かずどしかし、実際には人員の手配が付かずどちらか一方での作業になることが多い

ちらか一方での作業になることが多いちらか一方での作業になることが多い

ちらか一方での作業になることが多い

Network Se curity

IPsec

61 61 61 61

Ping Ping Ping

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• 経路上のどこに障害があるのかを予測経路上のどこに障害があるのかを予測経路上のどこに障害があるのかを予測経路上のどこに障害があるのかを予測

• 問題のあるホストまたはネットワークの特定問題のあるホストまたはネットワークの特定問題のあるホストまたはネットワークの特定問題のあるホストまたはネットワークの特定

• IPsec IPsec IPsec IPsec gateway gateway gatewayの障害か否かの絞込み gateway の障害か否かの絞込みの障害か否かの絞込みの障害か否かの絞込み

Network Se curity

IPsec

62 62 62 62

例例例例

• ブランチ拠点にあるクライアントからセンターブランチ拠点にあるクライアントからセンターブランチ拠点にあるクライアントからセンターブランチ拠点にあるクライアントからセンター拠点のあるサーバにアクセスできなくなった拠点のあるサーバにアクセスできなくなった拠点のあるサーバにアクセスできなくなった拠点のあるサーバにアクセスできなくなったと想定

と想定

Network Se curity

IPsec

63 63 63 63

Ping Ping Ping

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• 58 58 58 58ページの図においてブランチ側で切り分け作業を行なうページの図においてブランチ側で切り分け作業を行なうページの図においてブランチ側で切り分け作業を行なうページの図においてブランチ側で切り分け作業を行なうと想定。

と想定。

• ①にｐｉｎｇを送信する ①にｐｉｎｇを送信する ①にｐｉｎｇを送信する ①にｐｉｎｇを送信するPC PC PCを設置 PC を設置を設置を設置

• ②にパケットアナライザを設置 ②にパケットアナライザを設置 ②にパケットアナライザを設置 ②にパケットアナライザを設置

– ①からセンター内問題のサーバへ ①からセンター内問題のサーバへping ①からセンター内問題のサーバへ ①からセンター内問題のサーバへ ping ping pingを打つ。を打つ。を打つ。を打つ。

– ①からセンターの別のサーバや ①からセンターの別のサーバやPC ①からセンターの別のサーバや ①からセンターの別のサーバや PC PCに PC にににping ping ping pingを打つ。を打つ。を打つ。を打つ。

– ①からセンター ①からセンター ①からセンター ①からセンター IPsec IPsec IPsec IPsec gateway gateway gatewayの内部 gateway の内部の内部LAN の内部 LAN LAN LAN側側側I/F 側 I/F I/Fに I/F にににping ping ping ping を打つ。

を打つ。を打つ。

を打つ。

– ①からセンター側ルータへ ①からセンター側ルータへping ①からセンター側ルータへ ①からセンター側ルータへ ping ping pingを打つ。を打つ。を打つ。を打つ。

– ①からセンター ①からセンター ①からセンター ①からセンター IPsec IPsec IPsec IPsec gateway gateway gatewayの gateway ののInternet の Internet Internet側 Internet 側側I/F 側 I/F I/Fに I/F にににping ping ping pingをををを打つ。打つ。打つ。

打つ。

– ②で収集したパケットの確認 ②で収集したパケットの確認 ②で収集したパケットの確認 ②で収集したパケットの確認

Network Se curity

IPsec

64 64 64 64

Ping Ping Ping

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• 確認事項確認事項確認事項確認事項

– アプリケーションはだめでもアプリケーションはだめでもping アプリケーションはだめでもアプリケーションはだめでも ping ping pingは通るかは通るかは通るかは通るか – SA SAは確立しているか SA SA は確立しているかは確立しているかは確立しているか

– IKE IKEはどこで失敗するか IKE IKE はどこで失敗するかはどこで失敗するかはどこで失敗するか

– どことどこの間に問題がありそうかどことどこの間に問題がありそうかどことどこの間に問題がありそうかどことどこの間に問題がありそうか

• 原因箇所の絞込み原因箇所の絞込み原因箇所の絞込み原因箇所の絞込み

– アプロケーション、ホスト、経路、アプロケーション、ホスト、経路、IPsec アプロケーション、ホスト、経路、アプロケーション、ホスト、経路、 IPsec IPsecの IPsec ののの設定、設定、設定、

設定、IKE IKE IKE IKEネゴネゴネゴネゴ

Network Se curity

IPsec

65 65 65 65

Ping Ping Ping

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• 前頁までの作業で障害箇所が見つからない場合前頁までの作業で障害箇所が見つからない場合前頁までの作業で障害箇所が見つからない場合前頁までの作業で障害箇所が見つからない場合

– IPsec IPsec client IPsec IPsec client client clientを実装した試験用を実装した試験用を実装した試験用を実装した試験用PC PC PCを②に PC を②にを②にを②に接続接続接続

接続

• ②から問題のサーバへ ②から問題のサーバへ ②から問題のサーバへ ②から問題のサーバへping ping pingを打つ ping を打つを打つを打つ

• ②からセンター内の別のサーバや ②からセンター内の別のサーバやPC ②からセンター内の別のサーバや ②からセンター内の別のサーバや PC PCに PC にににping ping ping ping を打つ

を打つを打つを打つ

• ②からセンター ②からセンター ②からセンター ②からセンター IPsec IPsec gateway IPsec IPsec gateway gateway gatewayの内部の内部の内部の内部LAN LAN LAN側 LAN 側側側 I/F

I/F I/F

I/Fにににping に ping ping pingを打つを打つを打つを打つ

• 同様に②からブランチ内へも同様に②からブランチ内へもping 同様に②からブランチ内へも同様に②からブランチ内へも ping pingを打つ ping を打つを打つを打つ

ドキュメント内第二部の内容 1. IPsec VPNのの設計ポイント 2. IPsec VPNのの障害対応 2 (ページ 55-76)

IKE確立までのログ 確立までのログ 確立までのログ 確立までのログ

Network Se curity

IPsec

56 56 56 56

パケット パケット パケット パケット

Phase 1 Phase 1 Phase 1

Phase 1セッション セッション セッション セッション

（メインモード）

（メインモード）

（メインモード）

（メインモード）

Phase 2 Phase 2 Phase 2

Phase 2セッション セッション セッション セッション

Network Se curity

IPsec

57 57 57 57

2 22 2- -- -3. 3. 3. 3. 障害切り分け 障害切り分け 障害切り分け 障害切り分け

Network Se curity

IPsec

58 58 58 58

切り分け作業 切り分け作業 切り分け作業 切り分け作業

Internet Internet Internet Internet

Router Router Router Router IPsec

IPsec IPsec IPsec gateway gateway gateway

gateway Router Router Router Router IPsec IPsec IPsec IPsec gateway gateway gateway gateway

パケットアナライザまたは試験用 パケットアナライザまたは試験用 パケットアナライザまたは試験用

パケットアナライザまたは試験用PC PC PCの接続箇所 PC の接続箇所 の接続箇所 の接続箇所

1 11

1 2 22 2 3 33 3 44 4 4

ブランチ拠点 センター拠点

Server Server Server Server

Server Server Server Server

Server

Server Server

Server

Network Se curity

IPsec

59 59 59 59

切り分け作業 切り分け作業 切り分け作業 切り分け作業

Internet Internet Internet Internet

Router Router Router Router IPsec

IPsec IPsec IPsec gateway gateway gateway gateway

可能であればパケットアナライザ 可能であればパケットアナライザ 可能であればパケットアナライザ

可能であればパケットアナライザ1 11 1台で 台で 台でgateway 台で gateway gateway gatewayを を を を 挟んで両側の内外のパケットを同時に収集

挟んで両側の内外のパケットを同時に収集 挟んで両側の内外のパケットを同時に収集 挟んで両側の内外のパケットを同時に収集

記録時間にズレが無くなり、遅延などが把握しやすい

記録時間にズレが無くなり、遅延などが把握しやすい 記録時間にズレが無くなり、遅延などが把握しやすい

記録時間にズレが無くなり、遅延などが把握しやすい

Network Se curity

IPsec

60 60 60 60

切り分け作業 切り分け作業 切り分け作業 切り分け作業

• 障害が確認された拠点で現地調査 障害が確認された拠点で現地調査 障害が確認された拠点で現地調査 障害が確認された拠点で現地調査

– ブランチで障害発生時は同時にセンター ブランチで障害発生時は同時にセンター ブランチで障害発生時は同時にセンター ブランチで障害発生時は同時にセンター 側でも調査した方が良い

側でも調査した方が良い 側でも調査した方が良い 側でも調査した方が良い

– しかし、実際には人員の手配が付かずど しかし、実際には人員の手配が付かずど しかし、実際には人員の手配が付かずど しかし、実際には人員の手配が付かずど ちらか一方での作業になることが多い

ちらか一方での作業になることが多い ちらか一方での作業になることが多い

ちらか一方での作業になることが多い

Network Se curity

IPsec

61 61 61 61

Ping Ping Ping

Pingによる切り分け による切り分け による切り分け による切り分け

• 経路上のどこに障害があるのかを予測 経路上のどこに障害があるのかを予測 経路上のどこに障害があるのかを予測 経路上のどこに障害があるのかを予測

• 問題のあるホストまたはネットワークの特定 問題のあるホストまたはネットワークの特定 問題のあるホストまたはネットワークの特定 問題のあるホストまたはネットワークの特定

• IPsec IPsec IPsec IPsec gateway gateway gatewayの障害か否かの絞込み gateway の障害か否かの絞込み の障害か否かの絞込み の障害か否かの絞込み

Network Se curity

IPsec

62 62 62 62

例 例 例 例

と想定

と想定

と想定

Network Se curity

IPsec

63 63 63 63

Ping Ping Ping

Pingによる切り分け による切り分け による切り分け による切り分け

と想定。

IKE確立までのログ確立までのログ確立までのログ確立までのログ

パケットパケットパケットパケット

Phase 1セッションセッションセッションセッション

Phase 2セッションセッションセッションセッション

　2 22 2- -- -3. 3. 3. 3.　障害切り分け　障害切り分け　障害切り分け　障害切り分け

切り分け作業切り分け作業切り分け作業切り分け作業

パケットアナライザまたは試験用パケットアナライザまたは試験用パケットアナライザまたは試験用

パケットアナライザまたは試験用PC PC PCの接続箇所 PC の接続箇所の接続箇所の接続箇所

ブランチ拠点センター拠点

切り分け作業切り分け作業切り分け作業切り分け作業

可能であればパケットアナライザ可能であればパケットアナライザ可能であればパケットアナライザ

可能であればパケットアナライザ1 11 1台で台で台でgateway 台で gateway gateway gatewayをををを挟んで両側の内外のパケットを同時に収集

挟んで両側の内外のパケットを同時に収集挟んで両側の内外のパケットを同時に収集挟んで両側の内外のパケットを同時に収集

記録時間にズレが無くなり、遅延などが把握しやすい記録時間にズレが無くなり、遅延などが把握しやすい

切り分け作業切り分け作業切り分け作業切り分け作業

• 障害が確認された拠点で現地調査障害が確認された拠点で現地調査障害が確認された拠点で現地調査障害が確認された拠点で現地調査

– ブランチで障害発生時は同時にセンターブランチで障害発生時は同時にセンターブランチで障害発生時は同時にセンターブランチで障害発生時は同時にセンター側でも調査した方が良い

側でも調査した方が良い側でも調査した方が良い側でも調査した方が良い

– しかし、実際には人員の手配が付かずどしかし、実際には人員の手配が付かずどしかし、実際には人員の手配が付かずどしかし、実際には人員の手配が付かずどちらか一方での作業になることが多い

ちらか一方での作業になることが多いちらか一方での作業になることが多い

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• 経路上のどこに障害があるのかを予測経路上のどこに障害があるのかを予測経路上のどこに障害があるのかを予測経路上のどこに障害があるのかを予測

• 問題のあるホストまたはネットワークの特定問題のあるホストまたはネットワークの特定問題のあるホストまたはネットワークの特定問題のあるホストまたはネットワークの特定

• IPsec IPsec IPsec IPsec gateway gateway gatewayの障害か否かの絞込み gateway の障害か否かの絞込みの障害か否かの絞込みの障害か否かの絞込み

例例例例

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• ①にｐｉｎｇを送信する ①にｐｉｎｇを送信する ①にｐｉｎｇを送信する ①にｐｉｎｇを送信するPC PC PCを設置 PC を設置を設置を設置

– ①からセンター内問題のサーバへ ①からセンター内問題のサーバへping ①からセンター内問題のサーバへ ①からセンター内問題のサーバへ ping ping pingを打つ。を打つ。を打つ。を打つ。

– ①からセンターの別のサーバや ①からセンターの別のサーバやPC ①からセンターの別のサーバや ①からセンターの別のサーバや PC PCに PC にににping ping ping pingを打つ。を打つ。を打つ。を打つ。

– ①からセンター ①からセンター ①からセンター ①からセンター IPsec IPsec IPsec IPsec gateway gateway gatewayの内部 gateway の内部の内部LAN の内部 LAN LAN LAN側側側I/F 側 I/F I/Fに I/F にににping ping ping ping を打つ。

を打つ。を打つ。

– ①からセンター側ルータへ ①からセンター側ルータへping ①からセンター側ルータへ ①からセンター側ルータへ ping ping pingを打つ。を打つ。を打つ。を打つ。

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• 確認事項確認事項確認事項確認事項

– IKE IKEはどこで失敗するか IKE IKE はどこで失敗するかはどこで失敗するかはどこで失敗するか

– どことどこの間に問題がありそうかどことどこの間に問題がありそうかどことどこの間に問題がありそうかどことどこの間に問題がありそうか

• 原因箇所の絞込み原因箇所の絞込み原因箇所の絞込み原因箇所の絞込み

– アプロケーション、ホスト、経路、アプロケーション、ホスト、経路、IPsec アプロケーション、ホスト、経路、アプロケーション、ホスト、経路、 IPsec IPsecの IPsec ののの設定、設定、設定、

設定、IKE IKE IKE IKEネゴネゴネゴネゴ

Pingによる切り分けによる切り分けによる切り分けによる切り分け

• 前頁までの作業で障害箇所が見つからない場合前頁までの作業で障害箇所が見つからない場合前頁までの作業で障害箇所が見つからない場合前頁までの作業で障害箇所が見つからない場合

– IPsec IPsec client IPsec IPsec client client clientを実装した試験用を実装した試験用を実装した試験用を実装した試験用PC PC PCを②に PC を②にを②にを②に接続接続接続

• ②から問題のサーバへ ②から問題のサーバへ ②から問題のサーバへ ②から問題のサーバへping ping pingを打つ ping を打つを打つを打つ

• ②からセンター内の別のサーバや ②からセンター内の別のサーバやPC ②からセンター内の別のサーバや ②からセンター内の別のサーバや PC PCに PC にににping ping ping ping を打つ

を打つを打つを打つ

• ②からセンター ②からセンター ②からセンター ②からセンター IPsec IPsec gateway IPsec IPsec gateway gateway gatewayの内部の内部の内部の内部LAN LAN LAN側 LAN 側側側 I/F

I/Fにににping に ping ping pingを打つを打つを打つを打つ

• 同様に②からブランチ内へも同様に②からブランチ内へもping 同様に②からブランチ内へも同様に②からブランチ内へも ping pingを打つ ping を打つを打つを打つ