IPsecを伴ったL2トンネリング/ブリッジ

（いつの間にか本シリーズも第10回に突入）
その９の続編。IPsecを用いてトンネリング部分を暗号化する。

トポロジー

同一セグメント（10.0.0.0/24）のトンネリング区間（R2-R3）をIPsec化する。末端のPCには固定IPアドレスをアサインする。

設定

PC1およびPC2は自明のため省略。

R2

L2トンネリングについては、その９の説明参照。

pseudowire-class test
 encapsulation l2tpv3
 ip local interface FastEthernet0/0

interface FastEthernet0/1
 no ip address
 xconnect 192.168.2.2 1 encapsulation l2tpv3 manual pw-class test
  l2tp id 1 2

ip route 0.0.0.0 0.0.0.0 FastEthernet0/0

IKEおよびIPSecの詳細については、「その４：トンネリング：IPsec」の説明を参照。IKEおよびIPsecの接続先として、対向ルーターであるR3のIPアドレスを指定する。

crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2
crypto isakmp key testpwd address 192.168.2.2
crypto isakmp keepalive 60 periodic

crypto ipsec transform-set ABC esp-aes esp-sha-hmac 
 mode transport

IKEおよびIPsecを適用するマップの設定。暗号化の対象をプロトコル番号「115」（L2TP）としている。プロトコル番号については、プロトコル番号 ( IP Protocol Number )を参照。

crypto map To_R3 1 ipsec-isakmp 
 set peer 192.168.2.2
 set transform-set ABC 
 match address DEF

ip access-list extended DEF
 permit 115 any any

接続先となる物理I/Fに上述したマップを適用する。

interface FastEthernet0/0
 ip address 192.168.1.2 255.255.255.0
 crypto map To_R3

R3

R2とほぼ同じのため、説明省略。

pseudowire-class test
 encapsulation l2tpv3
 ip local interface FastEthernet0/0

crypto isakmp policy 1
 encr aes
 authentication pre-share
 group 2
crypto isakmp key testpwd address 192.168.1.2
crypto isakmp keepalive 60 periodic

crypto ipsec transform-set ABC esp-aes esp-sha-hmac 
 mode transport

crypto map To_R2 1 ipsec-isakmp 
 set peer 192.168.1.2
 set transform-set ABC 
 match address DEF

interface FastEthernet0/0
 ip address 192.168.2.2 255.255.255.0
 crypto map To_R2

interface FastEthernet0/1
 no ip address
 xconnect 192.168.1.2 1 encapsulation l2tpv3 manual pw-class test
  l2tp id 2 1

ip route 0.0.0.0 0.0.0.0 FastEthernet0/0

ip access-list extended DEF
 permit 115 any any

R1

自明。

interface FastEthernet0/0
 ip address 192.168.1.1 255.255.255.0

interface FastEthernet0/1
 ip address 192.168.2.1 255.255.255.0

検証

PC1からPC2へのping

PC1-R2のWiresharkデータ。ARPおよびICMP（ping）。当然ながら暗号化されていない。

R2-R1のWiresharkデータ。暗号化されている。

その他の参考サイト