More than 5 years have passed since last update.

IPSecが繋がらないときのチェックリスト

Last updated at 2017-12-24Posted at 2017-01-04

IPSecは苦手です。そうはいっても逃げてばかりもいられないので、頑張ってトラブルシューティングして繋がるようにしていきます。

トラブルシューティングに入る前に、基本的な情報をチェックリストに整理すると解決が早いことが多いです。本稿のお題は、そのテンプレ！

#トラブルシューティング前チェックリスト

クライアントの属するLANがNATルータで外と繋がっている場合、サーバがNAT機能つきファイアーウォールの奥にある場合など、いろいろなパターンがありますが、とにかくクライアントとサーバの間にNATがあれば「NATトラバーサル」のほうを選択します。

以上！

いやー、めんどくさいですね。このフォームを全部埋めないとトラブルシューティング作業に入れないのかと言うと、私の経験上、はい、まず入れません。むしろ、この区分では大まか過ぎるかも知れません。それがIPSecです。

#技術者を逆なでする数々の仕様

PSKを使うケースが多いかと思いますが、家庭用Wi-FiルータのPSKみたいに全体で一つのキー値を共有する形なら比較的シンプルに管理できます。しかし、クライアントごとに個別のPSKを割り当てようとすると、複雑さが一気に増大します。
WindowsのIPSecにはAggressiveモードがありません（参考：How IPSec Works / Google翻訳）。
WindowsでIPSec NATトラバーサルを使う場合、レジストリを手動で書き換える必要があります（参考：Windows Vista および Windows Server 2008 で NAT-T デバイスの背後に L2TP/IPsec サーバーを構成する方法（原文 / Microsoft翻訳））。
上記以外にも、OSごとに一部の機能がなかったりバグが多かったりということはよくあります。IPsec 認証方式の各 OS の対応状況が参考になります。

本稿はここまで！これはあくまで事前準備で、ここから先がトラブルシューティングの本題なのですが、IPSecのトラブルシューティングは、非常に広範囲で複雑な話になっていくので、一本の記事では書ききれません。気が向いたら別記事を書きます。。。

#参考文献

S. Frankel, et. al (2011)
IP Security (IPsec) and Internet Key Exchange (IKE) Document Roadmap
https://tools.ietf.org/html/rfc6071 (Google翻訳)