はじめに

IPSec VPN接続では異なる機器同士の設定でつまずく点が多くあります。今回はVMware NSX EdgeとJuniper SSG5のIPSec VPN接続設定における落とし穴について記載します。

VMware NSX Edgeについて

下記のURLを参照してください。
http://www.vmware.com/jp/products/nsx

Juniper SSG5について

下記のURLを参照してください。
http://www.hs-juniperproducts.jp/security/ssg/spec.html

NSX Edgeと接続する場合のIPSec VPN推奨設定

下記の表を参考にIPSec VPNを設定します。

以下はvCloud AirにおけるIPSec VPN接続ガイドですが、日本語で記載されており参考になります。
https://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=2094854

Juniper SSG5におけるIPSec VPN設定

下記ページよりIPSec VPN接続ガイド_Juniper_SSGをダウンロードして参照してください。
https://www.vmware-gogo.com/p/vcloudair_campaign/

VMware NSX EdgeとJuniper SSG5のIPSec VPN接続設定における落とし穴

上記で公開されていない落とし穴が2つありました。

Proxy ID設定が必要

プロキシIDは、VPNピア間でポリシールールを交換するために使用されます。デフォルトでSSGではポリシーチェックが使用可能になっており、プロキシIDにより送信されるポリシーはローカルで構成されているポリシーと比較されます。プロキシID不一致はVPNの失敗によくあるようです。
参照先：http://www.infraeye.com/study/juniperssg20.html
設定画面例：

VPNモニターの設定が必要

以下のメッセージがログに記録されており、Phase 2のVPN Monitorの設定でDestination IP欄に対向側でpingに応答するIPアドレスを入力することでVPNトンネルステータスが安定しました。デフォルトの設定値は「default」が入力されています。

Message
VPN monitoring for VPN 〈vpn_name〉 has deactivated the SA with ID 0x 〈tunnel-id〉x.

Meaning
The security device determined that the VPN monitoring status for the specified VPN tunnel changed from up to down. Consequently, the security device deactivated the specified Phase 2 security association (SA).