サイト間VPNの設定

タイプ

MX-ZのAuto VPNトポロジーにおける役割を設定するための3つのオプションがあります：

• オフ：MX-Zデバイスはサイト間VPNに参加しません。
• ハブ（メッシュ）：MX-Zデバイスは、ハブ（メッシュ）モードに設定されたすべてのリモートMeraki VPNピアとVPNトンネルを確立します。また、ハブとして設定された他のMX-Zアプライアンスとハブ＆スポークモードでVPNトンネルを確立します。
• スポーク：このMX-Zデバイス（スポーク）は、指定されたリモートMX-Zデバイス（ハブ）にのみ直接トンネルを確立します。他のスポークは、それぞれのハブを経由して到達可能ですが、サイト間ファイアウォールルールでブロックされる場合があります。

トンネリング

MX-Zデバイスがスポークとして構成されている場合、2つのトンネリングモードが利用可能です：

• スプリットトンネル（デフォルトルートなし）：サイト間トラフィックのみを送信します。つまり、リモートサイトにサブネットがある場合、そのサブネット宛のトラフィックはVPN経由で送信されます。しかし、VPNメッシュに含まれていないネットワーク（例：www.google.comなどのパブリックWebサービス）宛のトラフィックはVPN経由では送信されません。代わりに、このトラフィックは別の利用可能なルートを使ってルーティングされ、通常はローカルのMX-Zデバイスから直接インターネットに送信されます。スプリットトンネルは複数のハブの設定を可能にします。
• フルトンネル（デフォルトルートあり）：設定された出口ハブがAuto VPNを通じてデフォルトルートをスポークMX-Zデバイスに広告します。その他のルートで到達できないサブネット宛のトラフィックは、VPN経由で出口ハブに送信されます。出口ハブのデフォルトルートは優先順位の降順で適用されます。

コンセントレータ優先順位

コンセントレータ優先順位は、ハブ（メッシュ）モードのアプライアンスが複数のMeraki VPNピアから広告されるサブネットに到達する際に使用されます。ハブ優先順位と同様に、以下の条件を満たすリストの最上位のコンセントレータがそのサブネットへの到達に使用されます。

A) サブネットを広告していること

B) 現在VPN経由で到達可能であること

重要な点として、コンセントレータ優先順位はメッシュモードのアプライアンスでのみ使用されます。ハブ＆スポークモードのアプライアンスはコンセントレータ優先順位を無視先順位を無視し、代わりにハブ優先順位を使用します。

NATトラバーサル

MX-Zデバイスがファイアウォールやその他のネットワークアドレス変換（NAT）デバイスの背後にある場合、VPNトンネルを確立するために2つのオプションがあります：

• 自動：ほとんどの場合、MX-Zデバイスは「UDPホールパンチング」と呼ばれる技技術を使用して、ファイアウォールやNATデバイスを通過してリモートMeraki VPNピアへのサイト間VPN接続を自動的に確立できます。これは推奨かつデフォルトのオプションです。
• 手動：ポートフォワーディング：自動オプションが機能しない場合に使用します。手動ポートフォワーディングが有効な場合、Meraki VPNピアは指定されたパブリックIPアドレスとUDPポート番号を使ってMX-Zデバイスに接続します。上流のファイアウォールで、そのUDPポートへのすべての着信トラフィックをMX-ZデバイスのIPアドレスに転送するよう設定する必要があります。

ローカルネットワーク

複数のLANサブネットがある場合、VPNに参加させるVLANや静的ルートを指定するオプションがあります。

同じサブネットは、すべての広告しているアプライアンスがパススルーまたはVPNコンセントレータモードの場合にのみ複数のアプライアンスから広告可能です。ルーティングモードのアプライアンスから広告されるすべてのサブネットは、Auto VPNトポロジー内で一意でなければなりません。

VPNサブネット変換

大規模分散ネットワークでは、複数のネットワークが同一のサブネット範囲を持つことがあります（例：重複サブネット）。サイト間VPN通信では、各サイトが異なる非重複のローカルサブネットを持つ必要があります。複数の拠点が同じローカルサブネットを持つ場合、VPNサブネット変換を有効にして、ローカルサブネットを同じアドレス数の新しいサブネットに変換します。詳細はUsing Site-to-site VPN Translation記事をご参照ください。

サブネット変換の例

• 拠点1のローカルサブネット：192.168.31.0/24
• 拠点2のローカルサブネット：192.168.31.0/24（同一）
• 拠点1の変換後サブネット：10.0.1.0/24
• 拠点2の変換後サブネット：10.0.2.0/24

上記の例では、両ネットワークが同一のローカルサブネットを持っていても、変換されたVPNサブネットを使ってVPN経由で通信可能です。拠点1は10.0.1.0/24、拠点2は10.0.2.0/24としてVPNトンネル上でアクセス可能です。

Open Shortest Path First (OSPF) ルート広告

MXセキュリティアプライアンスは現在フルOSPFルーティングをサポートしていませんが、OSPFを使用してリモートVPNサブネットをコアスイッチや他のルーティングデバイスに広告し、これらのサブネットへの静的ルート作成の必要を回避できます。OSPF広告はVPNコンセントレータモードまたはMX 13.4以降のファームウェアでVLANが無効化されているルーティングモードでサポートされます。

• リモートルートの広告：これを有効にすると、OSPFがリモートVPNサブネットをこのMX経由で到達可能として広告します。
• ルータID：このMXがOSPF隣接機器に対して自身を識別するために使用するOSPFルータIDです。
• エリアID：このMXがルート広告時に使用するOSPFエリアIDです。
• コスト：このMXから広告されるすべてのOSPFルートに付与されるルートコストです。
• Helloタイマー：MXがOSPF Helloパケットを送信する頻度です。OSPFトポロジ内のすべてのデバイスで同じにする必要があります。
• デッドタイマー：特定のOSPF隣接機器からHelloパケットを受信しなくなるまでの待機時間です。
• MD5認証：有効にすると、MD5ハッシュを使用してOSPF隣接機器の認証を行い、不正なデバイスによるOSPFルート注入を防止します。
• 認証キー：Message Digest Algorithm 5（MD5）のキー番号とパスフレーズです。OSPF隣接を形成するデバイス間で一致させる必要があります。

非Meraki VPNピア

セキュリティアプライアンスまたはテレワーカーゲートウェイと非Meraki VPNエンドポイントデバイス間でサイト間VPNトンネルを作成するには、セキュリティ & SD-WAN > 設定 > サイト間VPNページの IPsec VPN Peers セクションで行います。ピア追加をクリックし、以下の情報を入力してください：

1. リモートデバイスまたはVPNトンネルの名前。
2. 使用するInternet Key Exchange (IKE) バージョン（IKEv1または1またはIKEv2）*。IKEv1とIKEv2の違いについてはこちらの記事をご参照ください。
3. リモートデバイスのパブリックIPアドレス（注意：ピアデバイスが高可用性（HA）ペアの一部である場合は、HAの仮想IPを入力する必要があります）。
4. このMXのローカルID。これはオプションの設定で、リモートピアがこのMXのリモートIDとして受け取るものです。IKEv2でのみ利用可能です。
   • 空欄（デフォルト）の場合、MXのアップリンクIPが使用され、パブリックIPではありません。一部のピアはこれがMXのパブリックIP、ユーザFQDN（例：user@domain.com）、またはFQDN（例：www.example.com）と一致することを期待する場合があります。
5. リモートピアののモートID。これはオプションの設定で、リモートピアのユーザFQDN、FQDN、またはIPv4アドレスとして設定可能です。
   • どの値を使用するかはリモートデバイスに依存します。リモートIDの指定方法については、リモートデバイスのドキュメントを参照してください（例：ASAファイアウォールのDetermining an ID Method for ISAKMP Peers）。
6. VPN経由で接続したいサードパーティデバイス背後のサブネット。0.0.0.0/0を指定してこのピアへのデフォルトルートを定義することも可能です。

   • 注意：MX-Zデバイスが非MerakiVPNピアに対してデフォルトルート（0.0.0.0/0）を設定している場合、接続が切断されてもトラフィックはWANにフェイルオーバーしません。

7. 使用するIPsecポリシー。詳細はCustom IPsec policies with Site-to-site VPNをご参照ください。
8. 事前共有鍵（PSK）。
9. 利用可否。ダッシュボード組織内のどのアプライアンスが非Merakiピアに接続するかを決定する可用性設定。オーガナイゼーション > 概要でネットワークタグが関連付けられているネットワークのみが可用性セクションで選択可能です。