none
ネットワークカードに複数のIPアドレスを割り当てた環境でのL2TP/IPsecについて RRS feed

 > 

  • 質問

  • Question
    サインインして投票
    0
    サインインして投票

    ネットワークカードに複数のIPアドレスを割り当てた環境でのL2TP/IPsecによるインターネットVPNについての質問です。


    HTTPなどはプライマリIPがソースIPとなり、正常にWEBページの表示などができますが、L2TP/IPsecによるインターネットVPN接続を確立しようとすると、「リモートコンピューターと最初にネゴシエートするときに、セキュリティ層で処理エラーが検出されたため、L2TP接続に失敗しました。」のエラーが発生し、VPN接続を確立することができません。


    プライマリIP（インターネット接続可）：192.168.0.1　mask：255.255.255.0　デフォルトゲートウェイ：192.168.0.254

    セカンダリIP（インターネット接続不可）：172.16.0.1　mask：255.255.255.0


    パケットキャプチャしてみたところ、ISAKMP（IKE）のパケットのSourceIPがセカンダリIP（デフォルトゲートウェイがない方のNW）となるのが原因のようで、複数IPの内どのIPをSourceIPにするかをWindowsが自動的に判断してしまっているのが問題のように見えます。


    もちろん、VPNサーバーはインターネット上にありますので、普通に考えればISAKMP（IKE）のパケットもプライマリIPの方から出ていくものと考えておりましたが、Windowsはそのように動いていないようです。


    お客様のネットワーク環境上どうしても解決したいのですが、策をご存知の方はいらっしゃいませんでしょうか。



    2016年11月14日 9:05
    |

回答

  • Question
    サインインして投票
    0
    サインインして投票

    チャブーンです。

    結論から申し上げるとどうしようもない=直接の解決策はない、と理解しています。

    前提条件として(ネットワークアプリケーションが)どのIPアドレスを使用するかは原則OS側で決定され、システム管理者がこの順番を厳密に制御する方法はありません。このようなケースではアプリケーション側でIPアドレスのバインドを指定するといった方法でないと、本来実現は不可能です。

    このようなケースで、ルーティングテーブルを操作して「172.16.0.0/24からそれ以外に行こうとした場合、自分自身に戻す」と設定することで問題回避できることがありますが、ルーティングテーブルは「NICカード(インターフェース)ごと」に指定されるため、本環境のような「1NICにある2つのIPアドレスのうちの1つだけに適用」というようなことはできません。

    解決したい場合、やはりNICを分けて、インターネット通信用とローカル通信用に個別運用することが得策かと思います。

    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    2016年11月15日 3:26
    |

すべての返信

  • Question
    サインインして投票
    0
    サインインして投票

    チャブーンです。

    結論から申し上げるとどうしようもない=直接の解決策はない、と理解しています。

    前提条件として(ネットワークアプリケーションが)どのIPアドレスを使用するかは原則OS側で決定され、システム管理者がこの順番を厳密に制御する方法はありません。このようなケースではアプリケーション側でIPアドレスのバインドを指定するといった方法でないと、本来実現は不可能です。

    このようなケースで、ルーティングテーブルを操作して「172.16.0.0/24からそれ以外に行こうとした場合、自分自身に戻す」と設定することで問題回避できることがありますが、ルーティングテーブルは「NICカード(インターフェース)ごと」に指定されるため、本環境のような「1NICにある2つのIPアドレスのうちの1つだけに適用」というようなことはできません。

    解決したい場合、やはりNICを分けて、インターネット通信用とローカル通信用に個別運用することが得策かと思います。

    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    2016年11月15日 3:26
    |
  • Question
    サインインして投票
    0
    サインインして投票

    チャブーンさん

    返信ありがとうございます。

    前提条件に挙げていただいたところについて、同じように理解はしていましたが、Windows標準の機能（アプリケーション）でL2TP/IPsecを利用していましたので、もしかしたら何か設定があるのではないかと思い投稿していました。

    ご提示いただいたようにNICを分けての運用の線で考えて見ます。

    アドバイスありがとうございます。

    2016年11月17日 1:58
    |