YAMAHA RTX1200同士で拠点間IPsec VPNを構築する｜2019年頃から運用している設定を振り返ってみた

はじめに

テレワーク用マンション（通称：テレ部屋）に置いている自宅サーバーへ自宅からアクセスするため、自宅とテレ部屋の間をYAMAHA RTX1200による拠点間VPNで接続しています。構築したのは2019年頃だったと思います。それからルーターの再起動や回線の再接続を挟みながら、現在まで運用してきました。

今回は、長年使っている設定を改めて確認しながら、RTX1200同士でIPsec VPNを構築するために必要な設定と、現在の接続状態をまとめます。近いうちにRTX1200からRTX1210へリプレイスする予定もあるため、移行前の設定を記録しておく意味もあります。

拠点間VPNを構築した理由

もともと自宅に置いていたサーバーラックを、別に借りているテレ部屋へ移しました。サーバーをテレ部屋へ移せば、自宅の騒音や発熱を減らせます。一方で、自宅からサーバーへアクセスできなくなると不便です。
また、テレビ録画サーバーもテレ部屋に置いているため、録画したデータを自宅へ転送する必要がありました。
そこで、自宅とテレ部屋の両方にRTX1200を設置し、インターネット経由の拠点間IPsec VPNを構築しました。
主な目的は次の2点です。

テレ部屋へ移した自宅ラック内のサーバーへ、自宅からアクセスする
テレ部屋のテレビ録画サーバーから、自宅へ録画データを転送する

端末ごとにVPN接続を開始するリモートアクセスVPNとは異なり、ルーター同士が常時VPNを張っています。そのため、自宅にいる端末からは、テレ部屋のネットワークが別のLANセグメントとして見えます。

現在のネットワーク構成

今回取り上げる構成は次のとおりです。

項目	自宅	テレ部屋
ルーター	YAMAHA RTX1200	YAMAHA RTX1200
ファームウェア	Rev.10.01.76	Rev.10.01.78
LANセグメント	192.168.100.0/24	192.168.111.0/24
RTX1200のLAN側IP	192.168.100.100	192.168.111.101
VPNトンネル番号	TUNNEL 99	TUNNEL 99
接続先の指定	ネットボランチDNS	ネットボランチDNS

自宅LAN：192.168.100.0/24
自宅RTX1200：192.168.100.100
テレ部屋LAN：192.168.111.0/24
テレ部屋RTX1200：192.168.111.101
両RTX1200間：TUNNEL 99／IPsec VPN
テレ部屋側：サーバーラック、テレビ録画サーバー
自宅側：PC、録画データの保存先

実際のRTX1200には、このほかにもリモートアクセスVPNやクラウド向けVPNの設定が入っています。現在もOCIとのVPNは使用していますが、以前検証したAWSとAzureへのVPNは切り離しています。
この記事では構成を分かりやすくするため、自宅とテレ部屋を接続しているTUNNEL 99だけを取り上げます。

今回使用しているVPNの仕組み

自宅とテレ部屋ではLANセグメントを分けています。自宅からテレ部屋の192.168.111.0/24へ向かう通信は、自宅側RTX1200のTUNNEL 99へ送ります。反対に、テレ部屋から自宅の192.168.100.0/24へ向かう通信もTUNNEL 99へ送ります。トンネル内の通信はIPsecで暗号化され、インターネットを経由して相手側RTX1200へ届きます。
今回の設定では、IPsecの暗号化にAES-CBC、認証にSHA-HMACを使用しています。これは2019年頃に構築した既存設定を振り返ったものであり、新しく構築する場合の推奨設定は、利用する機種と最新のYAMAHA公式設定例を確認してください。

YAMAHA公式の設定例：
https://network.yamaha.com/setting/router_firewall/vpn/connect/two_point

設定前に決めておく情報

拠点間VPNを設定する前に、次の情報を決めておきます。

設定項目	自宅	テレ部屋
LAN側IPアドレス	192.168.100.100	192.168.111.101
LANセグメント	192.168.100.0/24	192.168.111.0/24
トンネル番号	99	99
IPsec設定番号	1	5
相手側アドレス	テレ部屋のネットボランチDNS名	自宅のネットボランチDNS名
事前共有鍵	両側で同じ十分に長い文字列	両側で同じ十分に長い文字列

IPsec設定番号は、ルーター内のほかの設定と重複しなければ任意です。今回の環境では複数のVPNを設定しているため、自宅側では1、テレ部屋側では5を使用しています。
また、自宅とテレ部屋で同じLANセグメントを使用すると経路を正しく判別できません。拠点間VPNを構築する場合は、双方で異なるLANセグメントを使用します。

ネットボランチDNSで相手側RTX1200を指定する

両拠点とも、VPNの接続先にはYAMAHAのネットボランチDNS名を使用しています。グローバルIPアドレスが変動する回線でも、ネットボランチDNS名を使用すれば、IPアドレスを設定へ直接書かずに相手側RTX1200を指定できます。
ホスト名は自宅の場所や機器を推測できる情報になり得るため、本記事では次のように置き換えます。

自宅側：<HOME_NETVOLANTE_DNS>
テレ部屋側：<TELE_NETVOLANTE_DNS>

以下が自宅側RTX1200のネットボランチDNS登録状況。公開にあたり、ネットボランチDNS名はマスクしています。

自宅側RTX1200の設定

自宅側のTUNNEL 99に関係する設定を、公開用に整理すると次のようになります。
事前共有鍵とネットボランチDNS名はマスクしています。

ip route 192.168.111.0/24 gateway tunnel 99

tunnel select 99
 description tunnel HOME-TELE
 ipsec tunnel 1
  ipsec sa policy 1 1 esp aes-cbc sha-hmac
  ipsec ike keepalive use 1 auto heartbeat
  ipsec ike local address 1 192.168.100.100
  ipsec ike pre-shared-key 1 text <IPSEC_PSK>
  ipsec ike remote address 1 <TELE_NETVOLANTE_DNS>
 ip tunnel tcp mss limit auto
 tunnel enable 99

ipsec auto refresh on

ip routeでは、テレ部屋側LANである192.168.111.0/24の転送先にTUNNEL 99を指定しています。
ipsec ike local addressには、自宅側RTX1200のLAN側IPアドレスを指定します。ipsec ike remote addressには、テレ部屋側RTX1200のネットボランチDNS名を指定します。
ipsec ike pre-shared-keyには、両拠点で共通の事前共有鍵を設定します。実運用では、推測されにくい十分に長いランダム文字列を使用します。

テレ部屋側RTX1200の設定

テレ部屋側の設定は次のとおりです。

ip route 192.168.100.0/24 gateway tunnel 99

tunnel select 99
 description tunnel HOME-TELE
 ipsec tunnel 5
  ipsec sa policy 5 5 esp aes-cbc sha-hmac
  ipsec ike keepalive use 5 auto heartbeat
  ipsec ike local address 5 192.168.111.101
  ipsec ike pre-shared-key 5 text <IPSEC_PSK>
  ipsec ike remote address 5 <HOME_NETVOLANTE_DNS>
 ip tunnel tcp mss limit auto
 tunnel enable 99

ipsec auto refresh on

テレ部屋側では、自宅LANの192.168.100.0/24をTUNNEL 99へ送る経路を設定しています。
ローカルアドレスとリモートアドレスは自宅側と反対になります。事前共有鍵は自宅側と同じものを設定します。

設定を保存する

CLIから設定を変更した場合は、両拠点の設定と疎通を確認し、問題がなければ設定を保存します。

save

設定を保存しないままRTX1200を再起動すると、変更内容が失われます。要注意です。
ただし、既存環境へ設定を追加する場合は、設定番号やトンネル番号の重複、フィルター、NAT、既存の経路を事前に確認します。本記事の設定をそのまま投入するのではなく、それぞれの環境に合わせた調整が必要です。

ルーティングを確認する

設定後、両方のRTX1200でルーティングテーブルを確認します。

show ip route

自宅側では、次の経路が登録されていました。

192.168.100.0/24    192.168.100.100        LAN1  implicit
192.168.111.0/24    -                TUNNEL[99]  static

テレ部屋側では、次のようになっています。

192.168.100.0/24    -                TUNNEL[99]  static
192.168.111.0/24    192.168.111.101        LAN1  implicit

どちらも、自拠点のLANはLAN1へ、相手拠点のLANはTUNNEL 99へ向いています。

自宅側のshow ip route実行結果

テレ部屋側のshow ip route実行結果

IPsec SAを確認する

IPsecの接続状態は、次のコマンドで確認できます。

show ipsec sa

取得した結果では、双方にTUNNEL 99の送信用と受信用のESP SAが作成されていました。

自宅側の一部を抜粋します。

Total: isakmp:2 send:2 recv:2

sa   sgw isakmp connection   dir
---------------------------------
1     1    -    tun[099]esp  send
3     1    -    tun[099]esp  recv

テレ部屋側でも、TUNNEL 99に対する送受信のSAを確認できました。

sa   sgw isakmp connection   dir
---------------------------------
4     5    2    tun[099]esp  send
5     5    2    tun[099]esp  recv

SA番号や有効時間は接続のたびに変わるため、記事の実行結果と同じ番号になるとは限りません。確認するポイントは、tun[099]espのsendとrecvが存在することです。

自宅側のshow ipsec sa実行結果

テレ部屋側のshow ipsec sa実行結果

トンネルの状態を確認する

TUNNEL 99の状態は次のコマンドで確認します。

show status tunnel 99

両拠点とも、トンネルインターフェースが接続中であることを確認できました。また、送受信パケット数にも値が入っており、実際に通信に使用されていることが分かります。

自宅側のshow status tunnel 99実行結果

テレ部屋側のshow status tunnel 99実行結果

ここに表示される開始日時は、VPNを最初に構築した2019年頃の日付ではありません。ルーターの再起動やトンネルの再接続後に、現在の接続が始まった日時です。

双方向の疎通を確認する

最後に、それぞれのRTX1200から相手側RTX1200のLAN側IPアドレスへpingを実行しました。

自宅からテレ部屋への疎通確認

自宅側RTX1200から、テレ部屋側RTX1200の192.168.111.101へpingを実行しました。

ping 192.168.111.101

結果は次のとおりです。

11個のパケットを送信し、11個のパケットを受信しました。0.0%パケットロス
往復遅延 最低/平均/最大 = 9.627/44.206/98.151 ミリ秒

11パケットすべてに応答があり、パケットロスは0%でした。

自宅からテレ部屋へのping結果

テレ部屋から自宅への疎通確認

反対方向も確認します。

ping 192.168.100.100

11個のパケットを送信し、11個のパケットを受信しました。0.0%パケットロス
往復遅延 最低/平均/最大 = 33.414/72.240/282.149 ミリ秒

こちらも11パケットすべてに応答があり、パケットロスは0%でした。

テレ部屋から自宅へのping結果

通信方向	結果	損失	平均
自宅からテレ部屋	11/11	0%	44.206ms
テレ部屋から自宅	11/11	0%	72.240ms

遅延には多少の幅がありますが、双方のLAN側IPアドレスへ問題なく到達しています。これにより、単に相手側のインターネット回線まで到達できているだけでなく、IPsecトンネルを通って相手側LANへ通信できていることを確認できました。

2019年頃から運用してみて

この拠点間VPNは、2019年頃から運用しています。ルーター同士がVPNを確立するため、PCごとにVPNへ接続する操作は必要ありません。自宅からテレ部屋のサーバーへ接続するときも、同じネットワーク内にある機器へ接続する感覚で利用できます。
テレ部屋のテレビ録画サーバーから自宅へ録画データを転送する用途でも使用してきました。こちらの設定も後日記事にしようと思います。
一方、録画データのような大きなファイルを転送するときは、VPNだけでなく、両拠点のインターネット回線速度、特に送信側の上り速度も影響します。VPNが接続できていることと、期待した転送速度が出ることは分けて考える必要があります。

今回、久しぶりにコンフィグとログを確認すると、すでに切り離したAWSやAzure向けと思われるトンネルが再接続を試みているログも残っていました。長く使っているルーターでは、使わなくなった設定を定期的に棚卸しした方がよさそうです。

RTX1210へのリプレイス予定

RTX1200は2008年に発売され、2016年に生産終了となった機種です。長年安定して動いていますが、さすがに古くなってきました。そこで、中古のRTX1210を入手し、近いうちにRTX1200からリプレイスする予定です。RTX1210は、YAMAHA公式でもRTX1200の機能を継承したモデルとして案内されています。基本的なコマンド体系も近いため、既存コンフィグをベースに移行できると考えていますが、設定を丸ごと投入するのではなく、機種差分や不要になった設定を確認しながら移行します。

YAMAHA公式 RTX1210製品情報：
https://network.yamaha.com/products/routers/rtx1210/index

移行時には、少なくとも次の点を確認する予定です。

RTX1200とRTX1210のコマンド差分
LANインターフェースとPPPoE設定
TUNNEL 99のIPsec設定
ネットボランチDNSの再登録または引き継ぎ
VRRPを使用している既存構成への組み込み
リモートアクセスVPNの認証情報変更
AWS・Azureなど、現在は使用していない設定の削除
OCI向けVPNが引き続き接続できること
双方向のpingと実際のファイル転送

この移行作業も、別の記事としてまとめたいと思います。

いつかは遠隔地にDRサイトを作りたい

現在は自宅とテレ部屋の2拠点ですが、将来的には別の遠隔地にも機器を置き、DRサイトとして利用してみたいと考えています。
自宅とテレ部屋は比較的近いため、大規模災害を考えると、バックアップ先として十分に離れているとはいえません。遠隔地へバックアップを複製できれば、機器故障だけでなく、拠点単位の障害にも備えられます。
ただし、録画データを含む大量のデータを遠隔地へ転送する場合は、回線速度、転送時間、保存容量、暗号化、世代管理なども考える必要があります。
まずは現在の自宅・テレ部屋間VPNをRTX1210へ安全に移行し、その後に遠隔地バックアップの構成を検討したいと思います。いつか実現したいところです……。

まとめ

RTX1200同士で自宅とテレ部屋をIPsec VPN接続し、2019年頃から運用してきた設定を振り返りました。
今回確認できたポイントは次のとおりです。

自宅とテレ部屋で異なるLANセグメントを使用する
相手側LANへの経路をIPsecトンネルへ向ける
動的なグローバルIPアドレスにはネットボランチDNSを利用する
show ipsec saで送受信のESP SAを確認する
show status tunnel 99でトンネルの接続状態を確認する
相手側RTX1200のLAN側IPアドレスへ双方向にpingを実行する
コンフィグを公開するときは認証情報を必ずマスクする

自宅からテレ部屋、テレ部屋から自宅のどちらもパケットロス0%で通信できており、現在も拠点間VPNは正常に動作しています。
長期間安定して動いていたため、設定を見直す機会があまりありませんでした。しかし、今回確認したことで、古いクラウド向けVPN設定や認証情報など、RTX1210への移行時に整理したい部分も見つかりました。
次回は、今回確認したRTX1200の設定をもとに、RTX1210へリプレイスする作業をまとめる予定です。

その他

RTX1200 関連の記事はこちら！！
YAMAHA RTX1200の記事一覧

参考資料

YAMAHA「IPsecを使用したVPN拠点間接続（2拠点）」
https://network.yamaha.com/setting/router_firewall/vpn/connect/two_point

YAMAHA「RTX1200 サポート」
https://network.yamaha.com/products/routers/rtx1200/support

YAMAHA「RTX1210 特長」
https://network.yamaha.com/products/routers/rtx1210/index