ＶＰＮ構築

IPsecトンネルモード編

IPsecトンネルモードテスト版
構築予定図

環境： ＬＡＮ，ＷＡＮは擬似環境 　 　 目的： ネットワーク「192.168.10.0/24」〜 　　　ネットワーク「192.168.20.0/24」を IPsecトンネルモードで接続する

テストに用いた機器

ＧＷとＰＣの接続はクロスケーブルを用いています。

＜簡略図＞

Chitose  <--  クロスケーブル -->  Ｍｉｆｅｒ　<---　HUB  ---> Nanami  <-- クロスケーブル --> Sasara

その１：IPsec定編

簡略な流れですが、この流れで接続を構築しました。

接続しただけではＧＷ間のアソシエーション（ＩＰトンネル）は構築されませでしたが、
どちらかのクライアントからＰｉｎｇを飛ばすと少し間が在ってから、トンネルが構築されました。

下に、一応テスト結果を上げますが、テストはあくまでも「接続テスト」であって、
「転送速度テスト」じゃありません。また、結果は環境に左右されますので、速度などは「目安」と考えてくださいね

また、あくまでもローカルな環境を前提にした「実験」です！！
ＩＰアドレス、ＩＰフィルターやＩＫＥの詳細、承認方法は簡略設定ですので、
間違っても、この設定のままインターネットには接続しないで下さい。

利用する方は、ご自分の責任の上ご利用くださいね
　

ＴＣＰパケット転送結果　　表中のＰＣ名の後にある数字は、平均ＣＰＵ使用率です

ＴＣＰパケットの転送結果です。１対１でのＴＣＰパケットですから、綺麗な結果が出ました。

IPsec無効化の場合で「Chitose」のＣＰＵパワーには余裕がある？
これは、もしや、「Sasara」が足を引っ張ってるかも知れませんね

　

UDPパケット転送結果　　表中のＰＣ名の後にある数字は、平均ＣＰＵ使用率です

また、表中の「０」や赤字は、予期せぬ数字です。なぜ、この数値になったのか原因が不明

ある意味、まったく信用のできない結果になりました。実験として失敗なのかもしれません･･･
（そもそも、バーストUDPパケットのテストをすること自体が間違いか？）

別の見方をすれば、この環境ではUDPパケットは使えないって結果が判明しましたけど

ちなみにパケット転送中、ＧＷ（Ｍｉｆｅｒ，Ｎａｎａｍｉ共）マウスすら動きません。

Ｗ２Ｋが標準で装備している
「ＩＰ　セキュリティ　モニタ」（ファイ名「ipsecmon」で存在します、ＸＰでは別の名前で）で見る限り、
６割程度のパケットはＧＷ間でロスしているようです。（特に大きいパケットの場合は如実にロスしてます）

///////////////////////
--------------------------------------------------------

本音を言えば、まだまだテスト項目が足りませんね、（ＧＷからクライアントへのテスト、ＧＷ−ＧＷ間テスト）
あと重要な「転送パケットのＩＰフィルタ処理」を行った場合の低下率
（今回のテストでは全パケット/ポートを通過させています）

実際、全てのクライアント（Chitose,Sasara）とゲートウエイ（Mifer,Nanami）のスペックが揃っていれば、
もっと正確なテストが可能なのでしょうが･･･

まあ、MS　Windowsが、IPsecをどれだけサポートしているか判っただけでも良かったです。
ちなみに・・・

Ｙ２ＫServerでは（たぶん、ＸＰでも同じだと思われます）

プロトコルモードは、 トンネリングモードとトランスポートモードをサポートし
ESP単独、AH単独、ESP+AHの組み合わせ

暗号化アルゴリズムもDES、3DES

承認アルゴリズムは、MD5、SHA-1（文献で確認できませんでしたが、HMACをサポート？）

IKEも
リキーのタイミング指定
ＰＦＳの指定、各種承認方法のサポートなど
基本的なことはサポートしているようです。

また、ＯＳがサービスとしてIPsecを動作している為だと思うのですが、
L2TPとの組み合わせはもとより、PPTPとの組み合わせも可能なようです（テストしてませんが･･･）

しかしテストにて、UDPパケットの結果を見る限り、
ESP 3DESを用いる場合、「Ｍｉｆｅｒ」程度じゃパワー不足です。(Pen3 450Mhz)
カプセル化が追いついていません。（「Ｎａｎａｍｉ」でも力不足ですが･･･）

・カプセル化処理にAHを付けても余りパワーの低下が発生していません。

・Ｍｄ５とＳＨＡ１の低下率が余り無い（１割程度）

・Chitose <> Mifer 間の転送にネックがあるような・・・Sasaraが弱いような・・・
　

「ＵＤＰの平均送受信速度」はあまりに、テスト結果が不信だった為削除いたしました。

不安定なんです・・・、１００Kbbs〜１０Mbbsと値が安定しませんでした。
又、クライアントがパケットの送信終了後暫く、UDPパケットが流れていたり
（しかもその時の転送レートはものすごく高速）
送信中でも、 いきなりパッタリ止まったりと

あくまでも予想の範囲ですが、ＧＷがパワー不足な為、
カプセル化されたパケット 解除処理が追いついていない為だと思われます。

あと、今回ＧＷとクライアントはクロスケーブルで接続した為か、
各ＬＡＮポートの相性が如実に出たのかもしれません・・・
（Chitose <> Mifer　にはその疑いが多いにあり）

今回テストには、Ｙ２ＫＳｅｖｅｒを用いましたが、Ｙ２Ｋ　Ｐｒｏ、ＸＰ　ＰｒｏでもＩＰsecゲートウエイは可能なので、
この程度のハードスペックでも、知人との２点間接続程度（ＡＤＳＬ程度）なら十分利用できるレベルなような気もしなくもないような？

まあ、UNIX系を用いたほうがいい結果はだせそうですが・・・それはそれ・・・