Oracle Cloud Infrastructure(OCI)の IPSec VPN トンネルの状態は、Tunnel Stateメトリックで稼働中(1)か停止中(0) の数値で確認することができます。

ということで、IPSec の Tunnel がダウンした時に、メールでアラーム通知されることを確認します。

■ 構成

以前に構成した Cisco 841M ルーターで OCI と IPSec VPN接続した構成へ、IPSec VPN トンネルへアラーム設定をします。

■ アラーム設定

1) サイト間VPN画面

対象のIPSec VPN接続を選択し、設定トンネルをクリック

2) VPN Tunnel画面

メトリックの IPSecトンネルの状態にある [オプション] から [この問い合わせにアラームを作成]をクリック

3) アラームの作成画面

以下項目を入力し、[アラームの保存]をクリック
以下項目以外はデフォルトを使用、必要に応じて変更して入力

フィールド	項目
アラーム名	アラームの名前。この名前は、このアラームに関連する通知のタイトルとして送信されます
アラームの重大度	アラームが起動状態にあるときに必要となるレスポンスの認識
メトリック・ネームスペース	oci_vpnを選択
メトリック名	TunnelStateを選択
時間隔	集計頻度の単位「分」または「時間」を選択
統計	集計関数　mean(指定した期間中のCountで、Sumの値を割った値)を選択
トリガー・ルール演算子と値	条件しきい値で使用する演算子、停止中の数値である 0と等しいもしくは　1より小さい条件を選択
トリガー遅延分数	アラームが起動状態になるまでに条件が維持される分数
宛先	通知(トピックにアラーム通知を送信)を選択
トピック	事前に作成したトピックを選択
通知の繰り返し	アラームが起動状態になっている間、通知は指定した間隔で再送信されます。
通知の抑制	評価および通知を一時停止する抑制時間ウィンドウを設定

4) アラーム定義画面

アラーム作成完了です。

■ Tunnelダウン検証

● CPE IPSec Tunnel 停止

1) IPSec SA確立確認

Router# show crypto session
Crypto session current status

Interface: Tunnel1
Profile: oracle-vpn-140.204.100.101
Session status: UP-ACTIVE
Peer: 140.204.100.101 port 500
  Session ID: 1125
  IKEv2 SA: local 100.100.100.101/500 remote 140.204.100.101/500 Active
  IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
        Active SAs: 2, origin: crypto map

2) tunnel シャットダウン

Router#configure terminal
Router(config)#interface Tunnel1
Router(config-if)#shutdown
Router(config-if)#
*Jan 30 08:29:05.579: %BGP-5-NBR_RESET: Neighbor 192.168.254.114 reset (Interface flap)
*Jan 30 08:29:05.579: %BGP-5-ADJCHANGE: neighbor 192.168.254.114 Down Interface flap
*Jan 30 08:29:05.579: %BGP_SESSION-5-ADJCHANGE: neighbor 192.168.254.114 IPv4 Unicast topology base removed from session  Interface flap
*Jan 30 08:29:07.579: %LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel1, changed state to down
*Jan 30 08:29:07.579: %LINK-5-CHANGED: Interface Tunnel1, changed state to administratively down

3) Tunnel シャットダウン設定確認

Router(config-if)# do show running-config | section interface Tunnel1
interface Tunnel1
 ip address 192.168.254.113 255.255.255.252
 ip virtual-reassembly in
 ip tcp adjust-mss 1350
 shutdown
 tunnel source 100.100.100.101
 tunnel mode ipsec ipv4
 tunnel destination 140.204.100.101
 tunnel protection ipsec profile oracle_ipsec_profile_Tunnel1

4) IPSec SA確立していないこと確認

対象のトンネル Tunnel1 の　statusが DOWNであることを確認

Router#show crypto session
Crypto session current status

Interface: Tunnel2
Profile: oracle-vpn-140.204.100.102
Session status: UP-ACTIVE
Peer: 140.204.100.102 port 500
  Session ID: 1138
  IKEv2 SA: local 100.100.100.101/500 remote 140.204.100.102/500 Active
  IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
        Active SAs: 2, origin: crypto map

Interface: Tunnel1
Session status: DOWN
Peer: 140.204.100.101 port 500
  IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
        Active SAs: 0, origin: crypto map

● OCI IPSec画面確認

1) サイト間VPN画面

ダウンさせた Tunnnel01 の IPSec と IPv4 BGPステータスが「停止」になっていることを確認

2) Tunnnel画面

ダウンさせたトンネルをクリックし、Metric　が停止ステータス(0) になっていることを確認

● OCI アラーム発生確認

1) OCI コンソール

[監視及び管理] → モニタリング項目にある[アラームのステータス]をクリック

2) アラームが起動しました画面

作成したアラームをクリック

3）アラーム定義画面(グラフ)

アラームの履歴から、値が1から0になりグラフが赤くなっていることを確認

4）アラーム定義画面(データ表)

アラームの履歴の[データ表を表示]をクリックし、Time Stanpで日時を確認

● アラームメール確認

設定したメールアドレスに、アラーム作成時に設定したアラーム名の題名(Subject)でメール受信を確認

■ Tunnel回復

● CPE IPSec Tunnel1 起動

1) Tunnel 起動

Router(config)#interface Tunnel1
Router(config-if)#no shutdown
Router(config-if)#
*Jan 30 14:04:39.514: %LINK-3-UPDOWN: Interface Tunnel1, changed state to up
*Jan 30 14:04:49.586: %LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel1, changed state to up
*Jan 30 14:04:55.118: %BGP-5-ADJCHANGE: neighbor 192.168.254.114 Up

2) 設定確認

shutdown 設定がないことを確認

Router# do show running-config | section interface Tunnel1
interface Tunnel1
 ip address 192.168.254.113 255.255.255.252
 ip virtual-reassembly in
 ip tcp adjust-mss 1350
 tunnel source 100.100.100.101
 tunnel mode ipsec ipv4
 tunnel destination 140.204.100.101
 tunnel protection ipsec profile oracle_ipsec_profile_Tunnel1

3) IPSec SA確立確認

Down した Tunnel1 の Status が UP-ACTIVE になっていることを確認

Router# show crypto session
Crypto session current status

Interface: Tunnel2
Profile: oracle-vpn-140.204.100.102
Session status: UP-ACTIVE
Peer: 140.204.100.102 port 500
  Session ID: 1439
  IKEv2 SA: local 100.100.100.101/500 remote 140.204.100.102/500 Active
  IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
        Active SAs: 2, origin: crypto map

Interface: Tunnel1
Profile: oracle-vpn-140.204.100.101
Session status: UP-ACTIVE
Peer: 140.204.100.101 port 500
  Session ID: 1433
  IKEv2 SA: local 100.100.100.101/500 remote 140.204.100.101/500 Active
  Session ID: 1431
  IKEv2 SA: local 100.100.100.101/500 remote 140.204.100.101/500 Active
  IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0
        Active SAs: 2, origin: crypto map

● OCI IPSec画面確認

1) サイト間VPN画面

起動させた Tunnnel01 の IPSec と IPv4 BGPステータスが「稼働中」になっていることを確認

2) Tunnnel画面

ダウンさせたトンネルをクリックし、Metric　が起動ステータス(1) になっていることを確認

● OCI アラーム停止確認

3）アラーム定義画面(グラフ)

アラームの履歴から、値が0から1になり、グラフが青くなっていることを確認

■ 参考

・OCI Documents
　- サイト間VPNのメトリック
　- アラームの管理
　- アラームの作成

・Cisco Documents
　- IP Security VPN Monitoring

■ 構成

■ アラーム設定

1) サイト間VPN画面

2) VPN Tunnel画面

3) アラームの作成画面

4) アラーム定義画面

■ Tunnelダウン 検証

● CPE IPSec Tunnel 停止

1) IPSec SA確立確認

2) tunnel シャットダウン

3) Tunnel シャットダウン設定確認

4) IPSec SA確立していないこと確認

● OCI IPSec画面確認

1) サイト間VPN画面

2) Tunnnel画面

● OCI アラーム発生確認

1) OCI コンソール

2) アラームが起動しました画面

3）アラーム定義画面(グラフ)

4）アラーム定義画面(データ表)

● アラームメール確認

■ Tunnel回復

● CPE IPSec Tunnel1 起動

1) Tunnel 起動

2) 設定確認

3) IPSec SA確立確認

● OCI IPSec画面確認

1) サイト間VPN画面

2) Tunnnel画面

● OCI アラーム停止確認

3）アラーム定義画面(グラフ)

■ 参考

■ Tunnelダウン検証