Meraki以外のサイト間VPNピアのトラブルシューティング

Cisco Meraki VPNの設定と要件

VPNの概念が説明されているナレッジ ベースの記事： IPsecおよびIKEを参照してください。

Meraki以外のピアへのVPN接続の場合、Cisco Merakiデバイスには以下のものが必要です。

• 事前共有キー（証明書は不要）。
• LANのスタティック ルート（VPNインターフェイス用のルーティング プロトコルは不要）。
• メイン モードのIKEv1またはIKEv2（アグレッシブ モードはサポートされません）。
• UDPポート500および4500によるアクセス。

 

次のIKEおよびIPsecパラメータは、MXで使用されるデフォルト設定です。

• フェーズ1（IKEポリシー）：3DES、SHA1、DHグループ2、ライフタイム8時間（28,800秒）。

• フェーズ2（IPsecルール）：3DESまたはAESのいずれか、MD5またはSHA1のいずれか、PFS無効、ライフタイム8時間（28,800秒）。

これらの設定は、可能なときにはデフォルトのままにしておくことをお勧めします。リモート ピアで必要な場合は、カスタムIPsecポリシーを実装することによって、これらのパラメータを変更できます。

 

 

Meraki以外のVPN接続は、プライマリ インターネット アップリンクを使用して確立されます。 プライマリ アップリンクに障害が発生した場合、VPN接続はセカンダリ インターネット アップリンクを使用します。フェールオーバーが発生した場合、サードパーティのピアは、セカンダリ アップリンクのIPアドレスが適切に設定されている必要があることに注意してください。プライマリ アップリンク設定は、Security & SD-WAN（セキュリティ& SD-WAN） > Configure（設定） > SD-WAN & traffic shaping（SD-WAN & トラフィック シェーピング） > Uplink selection（アップリンクの選択） > Global preferences（グローバル環境設定） > Primary uplink（プライマリ アップリンク）にあります。

 

異なるオーガナイゼーションにある2台のMXデバイス間でVPNを構築するには、Meraki以外のVPNピア接続が必要です。詳細については、ドキュメンテーションを参照してください。

イベントログを使用したトラブルシューティング

イベントログは、Network-wide（ネットワーク全体） > Monitor（監視） > Event log（イベントログ）から表示できます。All Non-Meraki / Client VPN（すべてのMeraki以外/クライアントVPN）イベントログ タイプを単独のEvent type include（含むイベント タイプ）オプションとして選択して、「Search（検索）」ボタンをクリックします。問題が発生した具体的な時間を知る必要がある場合は、特定の時間範囲を定義して、結果を絞り込むこともできます。

以下のログ エントリは、MX（IP：1.1.1.1）とMeraki以外のVPNデバイス（IP：2.2.2.2）の間のVPN接続が正常であることを示しています。

 

Jan 1 06:50:05 VPN msg: IPsec-SA established: ESP/Tunnel 1.1.1.1[4500]->2.2.2.2[4500] spi=122738512(0x750d750)
Jan 1 06:50:04 VPN msg: initiate new phase 2 negotiation: 1.1.1.1[4500]<=>2.2.2.2[4500]
Jan 1 06:50:04 VPN msg: ISAKMP-SA established 1.1.1.1[4500]-2.2.2.2[4500] spi:91f7c94b98a41ce8:85abf36d937b096f
Jan 1 06:50:03 VPN msg: initiate new phase 1 negotiation: 1.1.1.1[500]<=>2.2.2.2[500]

 フェーズ1または2のネゴシエーション中に障害があったことを示すエントリがないか、イベントログを確認します。 以下は、フェーズ1の障害を示すログ エントリの例です。 

 

May 8 07:23:53 VPN msg: failed to get valid proposal.
May 8 07:23:53 VPN msg: no suitable proposal found.
May 8 07:23:43 VPN msg: phase1 negotiation failed.

まとめとベンダー固有の例

イベントログを使用して、Meraki以外のVPN接続が成功したかどうかを調べることができ、失敗エントリによってデバイス間で一致していない可能性のある設定をすばやく特定できます。デバイス間での設定の一致が確認されると、VPNトンネルが確立されたことを示すネゴシエーション成功メッセージが表示されます。 ベンダー固有の設定例については、以下のリンクを参照してください。 

• Cisco ASA
• • 注：ASA 8.3以上を実行することをお勧めします。これより前のバージョンでは、トンネルが早期に切断される可能性があります。
• Netgear Prosafe
• Watchguard XTM
• Sonicwall