web-dev-qa-db-ja.com

ScreenOS ip6in4トンネルオーバートランスポートモードipsec？

ScreenOSルータ（SSG-5）とCisco 3925の間にポイントツーポイントトランスポートipsecセッションを設定しました。ipsecトランスポート自体は正常に機能しますが、プロトコル41トラフィックをトランスポートに転送しようとすると、パケットは正しく通過しません。

最初は、ipsec接続用のトンネルを作成する必要があると想定し、次にipsecトンネルのoutgoing-interfaceでip6in4トンネルをターゲットにしましたが、screenosではトンネル上にトンネルを作成できません。

さらに、ポリシーベースのVPNを使用しようとしましたが、ポリシーターゲットとして「トンネルVPN」を使用しようとすると、不明なコマンドが表示されますか？ポリシーベースのipsec用のマスターオン/オフスイッチはありますか？

以下は、適切な構成であると私が思うものですが、必要に応じてより多くの情報を提供させていただきます。

SCREENOS CONFIG:
---------------------------
set zone id 105 "mytunnel_TUNNEL"
set zone "mytunnel_TUNNEL" tcp-rst
set interface "tunnel.5" zone "mytunnel_TUNNEL"
set address "mytunnel_TUNNEL" "fdee:7e1e::/32" fdee:7e1e::/32
set ike gateway "micmplsv4" address 2.2.2.157 Main outgoing-interface "ethernet0/0" preshare "igdZeIcKNobfusol+CQcpIfvwnFwrxb5g==" sec-level compatible
set vpn "mytunnel" gateway "micmplsv4" no-replay transport idletime 0 sec-level compatible
set vpn "mytunnel" monitor optimized rekey
set vpn "mytunnel" id 0x16 bind interface tunnel.3
set vpn "mytunnel" proxy-id check
set vpn "mytunnel" proxy-id local-ip 8.8.8.10/32 remote-ip 2.2.2.157/32 "ANY"
set policy id 137 from "DMZ" to "mytunnel_TUNNEL"  "fdbe:a922:a316:2::/64" "fdee:7e1e::/32" "ANY" permit
set policy id 136 from "mytunnel_TUNNEL" to "DMZ"  "fdee:7e1e::/32" "fdbe:a922:a316:2::/64" "ANY" permit
set interface "tunnel.3" zone "Untrust"
set interface tunnel.3 ip unnumbered interface ethernet0/0
set vpn "mytunnel" id 0x16 bind interface tunnel.3
set route 2.2.2.157/32 interface tunnel.3


Cisco CONFIG:
------------------------------
ip access-list extended mic2pg
 permit ip Host 2.2.2.157 Host 8.8.8.10
!
crypto ipsec transform-set transport-esp-3des-sha esp-3des esp-sha-hmac
 mode transport
!
crypto map vpnmap 30 ipsec-isakmp
 set peer 8.8.8.10
 set transform-set transport-esp-3des-sha
 match address mic2pg
!
interface GigabitEthernet0/0.1
 encapsulation dot1Q 1 native
 ip address 2.2.2.157 255.255.255.224
 crypto map vpnmap
!
interface Tunnel3
 no ip address
 ipv6 address FDEE:7E1E:100:F002::1/64
 ipv6 enable
 tunnel source 2.2.2.157
 tunnel mode ipv6ip
 tunnel destination 8.8.8.10
 !
end
ciscoipv6ipsectunnelingscreenos
5
Peter Grace

ScreenOSで大量のIPv6を実行しました。ネイティブとトンネルの両方。私はあなたが求めていることを正確に実行しました（ただし、もう一方の端にあるCiscoではありません）。これが何をすべきかです。

6in4のものを取り除きます。トンネルインターフェースを1つだけ使用し、両側のプロキシIDの設定を解除します。 v4エンドポイントを使用してトンネルを構築してから、リモートv6プレフィックスとリモートv4プレフィックスをトンネルインターフェイスにルーティングします。

更新：要求に応じて、設定例。

ノート：

  • ローカルv6スーパーネットはfd28：e1f3：d650：1000 ::/56です
  • リモートv6スーパーネットはfd28：e1f3：d650：2000 ::/56です
  • あなたがそれを手に入れていると思うので、重要なv4部分は省略されています。

。

set interface ethernet0/0 zone Untrust
set interface ethernet0/0 ip 5.6.7.8/27
set interface ethernet0/0 route

set interface ethernet0/2 zone Trust
set interface ethernet0/2 ip 192.168.10.1/24
set interface ethernet0/2 route
set interface ethernet0/2 ipv6 mode router
set interface ethernet0/2 ipv6 enable
set interface ethernet0/2 ipv6 ip fd28:e1f3:d650:1010::/64

set interface ethernet0/2 ipv6 nd nud
set interface ethernet0/2 ipv6 ra link-address
set interface ethernet0/2 ipv6 ra link-mtu
set interface ethernet0/2 ipv6 ra managed
set interface ethernet0/2 ipv6 ra other
set interface ethernet0/2 ipv6 ra preference high
set interface ethernet0/2 ipv6 ra prefix fd28:e1f3:d650:1010::/64
set interface ethernet0/2 ipv6 ra reachable-time
set interface ethernet0/2 ipv6 ra retransmit-time
set interface ethernet0/2 ipv6 ra transmit

set zone name v6remote
set interface tunnel.20 ip unnumbered interface ethernet0/0
set interface tunnel.20 zone v6remote
set interface tunnel.20 ipv6 mode Host
set interface tunnel.20 ipv6 enable
set interface tunnel.20 ipv6 nd dad-count 0
set interface tunnel.20 ipv6 nd nud

set ike p1-proposal AES256-SHA preshare group2 esp aes256 sha-1 second 28800
set ike p2-proposal AES256-SHA group2 esp aes256 sha-1 second 3600

set ike gateway gateway2v6remote address 10.255.255.1 Main outgoing-interface ethernet0/0 preshare "secret-Word" proposal AES256-SHA
set vpn tunnel2v6remote gateway gateway2v6remote replay tunnel idletime 0 proposal AES256-SHA 
set vpn tunnel2v6remote bind interface tunnel.20

set policy from v6remote to trust v6remote v6local ANY permit log count 
set policy from trust to v6remote v6local v6remote ANY permit log count

set route fd28:e1f3:d650:2000::/56 interface tunnel.20 gateway ::
1
bahamat