Meraki Auto VPN - 設定とトラブルシューティング

Auto VPNと非Meraki拠点間VPNの比較

• Auto VPNは同一Merakiダッシュボード組織内のWANアプライアンス間でのVPN接続です。
• 非Meraki拠点間VPNは、サードパーティ／非Merakiデバイスとトンネルを形成する場合、または異なるダッシュボード組織内のMeraki WANアプライアンスと接続する場合に使用します。
• 非Meraki拠点間VPN同様、Auto VPNにも暗号化、認証、キーがあります。トラフィックはAES暗号で保護されますが、ユーザー側で変更する必要も変更できる余地もありません。

Auto VPN — Meraki SD-WANのコンポーネント

Auto VPNはSD-WANの一部として、VPNトンネル設定の手順を単純化・自動化します。数クリックでSD-WAN環境の展開と管理が容易になり、冗長性、セキュリティ、アプリケーション最適化を実現します。IKE/IPsec相当のトンネルによる自動VPNルート生成を備え、すべてMerakiクラウドで実行されます。

WANアプライアンスに2つのアップリンクがある場合、SD-WANコンポーネントとしてのAuto VPNでは、セキュリティ & SD-WAN > 設定 > SD-WAN & traffic shaping > アップリンク選択 > マルチアップリンク Auto VPNでVPNトンネル内のフロー優先度を設定できます。マルチアップリンク Auto VPNを有効にすると、両方のアップリンクでフロー優先度付きのVPNトンネルを作成できます。

マルチアップリンク Auto VPNを無効にすると、トンネルはプライマリWANリンク上に形成され、プライマリが障害を起こした場合にセカンダリへフェイルオーバーします。

Auto VPN設定の詳細

WANアプライアンスがAuto VPNドメイン内で他のデバイスと通信する方法を定義して有効化

WANアプライアンスをハブとして設定すると、Auto VPNドメイン内（同一ダッシュボード組織内）の他のすべてのハブWANアプライアンスと、このアプライアンスをハブに指定したすべてのスポークWANアプライアンスとのVPNトンネルを構築します。ドメイン内すべてがハブ設定なら、フルメッシュトポロジが形成されます。

スポークとして設定すると、そのスポークは設定されたハブとのみトンネルを構築します。ドメイン内の大多数がスポークで、いくつかの拠点（データセンターや本社など）がハブ設定なら、ハブ＆スポークトポロジとなります。

自動NATトラバーサルを使用する構成

VPN登録のトラブルシューティング

WANアプライアンスの拠点間VPNやアクセスポイントのテレワーカVPNなど、Cisco Merakiデバイス間でトラフィックを安全にトンネルするVPN機能を使用する場合、まずデバイスをダッシュボードのVPNレジストリに登録する必要があります。これにより、手動設定なしでデバイス間の接続が動的かつ自動的に確立されます。しかし、このプロセスで問題が発生することがあり、このセクションで説明します。

接続を維持するため、各Merakiノードは10秒ごとにVPNレジストリにキープアライブメッセージを送信します。6回以上キープアライブが届かない場合、そのノードは切断済みとしてマークされます。VPNレジストリへの接続の仕組みについては、自動NATトラバーサルの記事を参照してください。

正しいVPNトンネルを形成するには、両方のMerakiピアがVPNレジストリと通信できる必要があります。一方のMerakiデバイス（MX WANアプライアンスなど）がVPNレジストリに到達できても、対象のピアWANアプライアンスが到達できない場合、トンネルは形成されません。一般的な例として、上流のファイアウォールがUDPポート9350–9381でのVPNレジストリ通信をブロックしているケースがあります。この問題は「VPNレジストリ切断」のセクションで詳しく説明しています。

アプライアンスまたはコンセントレータがVPNレジストリに正常に接続しているが、別のVPNピアから切断されている場合は、ピア間VPN接続のトラブルシューティングの記事を参照してください。

自動NATトラバーサルのトラブルシューティング

Cisco MerakiのVPNピアは、自動NATトラバーサルを使用して、ファイアウォールやNAT越しに安全なIPsecトンネルを確立できます。上流のファイアウォールでACLが送信元ポートや、より一般的には送信トラフィックのUDPポート範囲32768–61000をブロックすると、ピアはファイアウォールに「ホール」を開けられず、リモートピアとのトンネルを確立できません。

以下の例では、ファイアウォールがpeer1からの必須宛先ポート範囲へのアウトバウンドUDPパケットをブロックしています。これによりホールパンチが失敗します。続いてpeer2がインバウンドパケットを送信しても、既存のアウトバウンドセッションと一致しないためファイアウォールの外部インターフェースで破棄され、peer1とpeer2間でトンネルは確立されません。

接続テストが失敗するか、ダッシュボードのVPNステータスが「切断済み」と表示される場合は、ピア間のトンネル確立に失敗しています。

サイト間VPNで2台のピアがVPN接続を確立できない場合、お互いのVPNステータスページに「切断済み」と表示されます。この場合、両ピアのプライマリインターネットインターフェースでパケットキャプチャを取得し、どのファイアウォールがIPsec通信をブロックしているかを解析してください。

allow inside to outside, protocol: udp, source ip: any, src port: any, dst ip: any, dst port: 32768-61000
allow outside to inside established (may not be necessary with stateful firewalls)

allow inside to outside, protocol: udp, source ip: X.X.X.X/32, src port: 32768-61000, dst ip: any, dst port: 32768-61000
allow outside to inside established (may not be necessary with stateful firewalls)

アクセスポイントからWANアプライアンスコンセントレータへの接続テスト

アクセスポイント － WANアプライアンスコンセントレータ接続タイプでは、ワイヤレスネットワーク上の接続テストボタンを使用します。テストを実行すると、どのアクセスポイントが「コンセントレータへの接続に失敗したか」がレポートされます。コンセントレータ側に問題がある場合は、すべてのアクセスポイントがテストに失敗することがあります。接続に失敗した各アクセスポイントの有線インターフェースでパケットキャプチャを取得し、さらにWANアプライアンスのプライマリインターネットインターフェースでもキャプチャを取得してください。これらのキャプチャを解析することで、どのサイトのファイアウォールがアウトバウンドIPsec通信をブロックしているかが判別できます。