PPPoEでインターネットに接続している拠点間をアライドテレシスと富士通のルータを使い、IPsecで結ぶVPN構築例です。
インターネットサービスプロバイダー（以下 ISP）から固定IPアドレスが割り当てられるルーター間をIPsec（ESP）トンネルで接続します。
アライドテレシスの設定例集や富士通の技術情報にこの組み合わせの例がなかったので公開しました。
アライドテレシス AT-AR2050V と富士通 Si-R G100Bの組み合わせで検証しました。

構成

	ルーターA （AT-AR2050V）	ルーターB （Si-R G100B）
ISPから提供された情報
ISP接続用ユーザー名	user@isp1	user@isp2
ISP接続用パスワード	isppasswd1	isppasswd2
PPPoEサービス名	指定なし	指定なし
WAN側IPアドレス	10.0.0.1/32	10.0.0.2/32
ルーターの基本設定
WAN側物理インターフェース	eth1	ETHER グループ1 ポート1
WAN側（ppp0）IPアドレス	10.0.0.1/32	10.0.0.2/32
LAN側（vlan1）IPアドレス	192.168.10.1/24	192.168.20.1/24
VPN接続設定
ローカルセレクター	0.0.0.0/0（デフォルト）	なし
リモートセレクター	0.0.0.0/0（デフォルト）	なし
IKEフェーズ1（ISAKMP）設定
IKEバージョン・交換モード	IKEv1 Mainモード
アルゴリズム	AES128 / SHA256 / Group2
ローカルID	始点アドレス（デフォルト）	始点アドレス
SA有効期間	1時間
IKEフェーズ2（IPsec）設定
アルゴリズム	AES128 / SHA256

ルーターA（AT-AR2050V）の設定

解説はこちらを参照。AT-AR3050SおよびAT-AR4050Sでも同じ設定のはず。

no spanning-tree rstp enable
!
service telnet
!
zone private
 network lan
  ip subnet 192.168.10.0/24
 network peer
  ip subnet 192.168.20.0/24 interface tunnel0
 network tunnel
  ip subnet 192.168.100.0/30
!
firewall
 rule 10 permit esp from public.wan.ppp0 to public.wan
 rule 20 permit esp from public.wan to public.wan.ppp0
 rule 30 permit isakmp from public.wan.ppp0 to public.wan
 rule 40 permit isakmp from public.wan to public.wan.ppp0
 rule 50 permit any from private to private
 rule 60 permit any from private to public
 rule 70 permit ping from public to public
 protect
!
zone public
 network wan
  ip subnet 0.0.0.0/0 interface ppp0
  host ppp0
   ip address 10.0.0.1
!
application esp
 protocol 50
!
application isakmp
 protocol udp
 sport 500
 dport 500
!
nat
 rule 10 masq any from private to public
 enable
!
crypto ipsec profile ipsec1
 lifetime seconds 3600
 transform 1 protocol esp integrity SHA256 encryption AES128
!
crypto isakmp profile isakmp1
 version 1 mode main
 lifetime 3600
 transform 1 integrity SHA256 encryption AES128 group 2
!
crypto isakmp key secret address 10.0.0.2
!
crypto isakmp peer address 10.0.0.2 profile isakmp1
!
interface eth1
 encapsulation ppp 0
!
interface vlan1
 ip address 192.168.10.1/24
!
!
interface tunnel0
 tunnel source 10.0.0.1
 tunnel destination 10.0.0.2
 tunnel protection ipsec profile ipsec1
 tunnel mode ipsec ipv4
 ip address 192.168.100.1/30
 ip tcp adjust-mss 1260
 mtu 1300
!
interface ppp0
 keepalive
 ip address 10.0.0.1/32
 ppp username user@isp1
 ppp password isppasswd1
 ip tcp adjust-mss pmtu
!
ip route 0.0.0.0/0 ppp0
ip route 192.168.20.0/24 tunnel0
ip route 192.168.20.0/24 Null 254

ルーターB（Si-R G100B）の設定

詳細はコマンドリファレンスやコマンド設定事例集のマニュアルを参照。Si-R G120/G121/G210/G211シリーズでも大差ないはず。（未確認）

ether 1 1 vlan untag 1
ether 2 1 vlan untag 2
ether 2 2 vlan untag 2
ether 2 3 vlan untag 2
ether 2 4 vlan untag 2
lan 1 ip address 192.168.20.1/24 3
lan 1 vlan 2
remote 0 name ISP-B
remote 0 mtu 1454
remote 0 ap 0 name PPPoE
remote 0 ap 0 datalink bind vlan 1
remote 0 ap 0 ppp auth send user@isp2 isppasswd2
remote 0 ap 0 keep connect
remote 0 ppp ipcp vjcomp disable
remote 0 ip address local 10.0.0.2
remote 0 ip route 0 default 1 1
remote 0 ip nat mode multi 10.0.0.2 1 5m
remote 0 ip nat static 0 10.0.0.2 500 10.0.0.2 500 17
remote 0 ip nat static 1 10.0.0.2 any 10.0.0.2 any 50
remote 0 ip msschange 1414
remote 1 name AR2050V
remote 1 ap 0 name ipsec
remote 1 ap 0 datalink type ipsec
remote 1 ap 0 ipsec type ike
remote 1 ap 0 ipsec ike protocol esp
remote 1 ap 0 ipsec ike encrypt aes-cbc-128
remote 1 ap 0 ipsec ike auth hmac-sha256
remote 1 ap 0 ike shared key text secret
remote 1 ap 0 ike proposal 0 encrypt aes-cbc-128
remote 1 ap 0 ike proposal 0 hash hmac-sha256
remote 1 ap 0 ike proposal 0 pfs modp1024
remote 1 ap 0 ike proposal 0 lifetime 1h
remote 1 ap 0 ike dpd use on
remote 1 ap 0 tunnel local 10.0.0.2
remote 1 ap 0 tunnel remote 10.0.0.1
remote 1 ap 0 sessionwatch address 192.168.20.1 192.168.10.1
remote 1 ip route 0 192.168.10.0/24 1 0
remote 1 ip msschange 1300
syslog facility 23
time zone 0900
consoleinfo autologout 8h
telnetinfo autologout 5m

SAの確認

awplus#show isakmp sa
--------------------------------------------------------------------------------
Peer                 Cookies (initiator:responder)       Auth  Ver   Expires
                   Encryption    Integrity    Group    DPD   NATT  State
--------------------------------------------------------------------------------
10.0.0.2             4c31301dce789d18:c76b5547b120759c   PSK   1     3002s
                   AES128        SHA256       2        yes   no    Established
awplus#show ipsec sa
-----------------------------------------------------------------------------
Peer                  SPI (in:out)          Mode          Proto  Expires
                      Encryption            Integrity     PFS
-----------------------------------------------------------------------------
10.0.0.2              c302d553:02338a8a     tunnel        ESP    2517s
                      AES128                SHA256        -

Si-R G100B# show ipsec sa
[IPsec SA Information]
[1]     Remote Name(AR2050V), rmt1, ap0
        Side(Responder), Gateway(10.0.0.1, 10.0.0.2), OUT
        Protocol(ESP), Enctype(aes-cbc-128), Authtype(hmac-sha256), PFS(off)
        Status(mature), Spi=3271742803(0xc302d553)
        Created(Jan  1 10:52:27 1970), NewSA(3570secs, 0Kbyte)
        Lifetime(3600secs), Current(1200secs), Remain(2400secs)
        Lifebyte(0Kbyte), Current(12Kbyte), Remain(0Kbyte)

[2]     Remote Name(AR2050V), rmt1, ap0
        Side(Responder), Gateway(10.0.0.2, 10.0.0.1), IN
        Protocol(ESP), Enctype(aes-cbc-128), Authtype(hmac-sha256), PFS(off)
        Status(mature), Spi=36932234(0x02338a8a)
        Created(Jan  1 10:52:27 1970), NewSA(3570secs, 0Kbyte)
        Lifetime(3600secs), Current(1200secs), Remain(2400secs)
        Lifebyte(0Kbyte), Current(12Kbyte), Remain(0Kbyte)

[IKE SA Information]
[1]     Destination(10.0.0.1.500), Source(10.0.0.2.500), rmt1
        Cookies(4c31301dce789d18:c76b5547b120759c)
        Side(Responder), Status(ESTABLISHED), Exchangetype(MAIN)
        IKE Version(1), Authmethod(shared-key), DPD(enable)
        Enctype(aes-cbc-128), Hashtype(hmac-sha256), PFS(modp1024)
        Created(Jan  1 11:01:13 1970)
        Lifetime(3600secs), Current(674secs), Remain(2926secs)

使ってみての所感

AT-ARシリーズのトンネルインタフェースはunnumberedにできない。またtelnetやsshコマンドはソースアドレスの指定ができない。このため、トンネルの向こう側にあるルータにtelnetでの接続ができなかった。
トンネルインタフェースをunnumberedにできるようになってほしいなぁ。

検証に使用したバージョン

AT-AR2050V	Si-R G100B
AlliedWare Plus (TM) 5.4.9 08/23/19 03:59:10	Firm Ver. : V04.12 NY0040 Wed Aug 4 08:27:12 JST 2021