クラウド時代のVPN設計の考え方

仮想ルータVyatta/VyOSで変わるネットワーク設計（2）

マニュアルにないIPSec設定のイロハ

　Brocade Vyatta vRouterにはオンラインドキュメントサイトとして、Vyatta Software Documentationが存在します。VyOSにもVyOS User Guideがありオンラインマニュアルとして活用されています。しかし、いろいろな機能を組み合わせてBrocade Vyatta vRouterやVyOSを実践的に設定するには少々親切ではなく、それを補うために『Vyatta仮想ルータ活用ガイド（技術評論社）』を執筆しました。

　ここでは、IPSecによるサイト間VPN設定のときに、覚えておくと良いNAT例外処理についてご紹介します。図8を使った順番に説明していきましょう。

図8. IPSecによるサイト間VPN設定におけるNAT例外処理

$ configure
# set nat source rule 20 destination address 10.20.20.0/24    宛先が他拠点LANで
# set nat source rule 20 source address 10.10.10.0/24         送信元が自拠点LANのとき
# set nat source rule 20 exclude                              NAT処理を行わない
# set nat source rule 20 outbound-interface eth0

# set nat source rule 100 source address 10.10.10.0/24        送信元が自拠点LANの
# set nat source rule 100 protocol icmp                       ICMPパケットは
# set nat source rule 100 translation address masquerade      NAT処理を行う
# set nat source rule 100 outbound-interface eth0

# set nat source rule 101 source address 10.10.10.0/24        送信元が自拠点LANの
# set nat source rule 101 protocol tcp_udp                    TCP/UDPパケットは
# set nat source rule 101 translation address masquerade      NAT処理を行う
# set nat source rule 101 translation port 5000-65535         変換用ポート番号範囲を指定する
# set nat source rule 101 outbound-interface eth0
# commit
# save

※NATルール設定は上から順番（数字の小さい順）に評価されます。

　最初の設定（rule 20）は、IPSecトンネルを経由するパケットはNAT処理しないというものです。よく忘れがちな設定の一つなのですが、このNAT例外処理がないことによるトラブルシューティングは意外と面倒です。

　つぎの設定（rule 100）は、IPSecトンネルを経由するパケットでもあり、外部のインターネットにも接続したい場合に行うNAT例外処理です。こちらもついつい忘れがちですが、これにより「あれ？ pingが通らない！」というトラブルシューティングを軽減できます。

　最後の設定（rule 101）も、IPSecトンネルを経由するパケットでもあり、外部のインターネットにも接続したい場合に行うNAT例外処理です。ほとんどすべてのOSやアプリケーションはインターネットに接続していることを前提として作られていますので、はじめてIPSecサイト間VPN接続する場合には忘れず設定しましょう。

　いずれのNAT設定もVyatta Software Documentationには、項目として存在していますが、IPSecサイト間VPN接続する場合の注意点としては併記されていません。

　Brocade Vyatta vRouterやVyOSに関わる情報は、オンラインドキュメント・書籍・ブログなど日本語・英語を問わず多数存在しています。読者の皆様にはぜひ実際に手にとって設定を試していただければと思います。

次回予告

　さて次回は、仮想ルータを使ったVPN接続の設定例をさらに続けて解説していきます。ご期待ください。