ナレッジドキュメント

デッドピア検出とトンネルモニタリングについて

開始者 (3,586 閲覧回数)

※この記事は以下の記事の日本語訳です。
Dead Peer Detection and Tunnel Monitoring
https://live.paloaltonetworks.com/t5/Configuration-Articles/Dead-Peer-Detection-and-Tunnel-Monitorin...

概要

デッドピア検出(DPD)とは、非アクティブまたは使用不能なインターネット鍵交換(IKE/Phase1)ピアを検出する方法で、RFC 3706に記載されている機能を指します。トンネルモニタリングはPalo Alto Networks独自の機能で、IPSEC トンネルの対向インターフェイスに対してPINGを送信することで、IPSEC トンネルをトラフィックが正常に通過することを確認します。トンネルモニタリングを"モニタープロファイル"と組合わせて使用することで、トンネルインターフェースをダウンさせるとともに、ルーティングを更新し、トラフィックをセカンダリルートを用いてルーティングできるようにします。トンネルモニタリングはDPDを必要としません。デッドピア検出はIPSEC トンネルの両端で有効または無効にする必要があり、片方が有効でもう片方が無効の状態の場合、VPNの信頼性に問題を引き起こす可能性があります。

詳細

デッドピア検出

DPDはIKE-SA (Security Association and IKE, Phase 1) の死活監視機能です。

DPDはピアデバイスがまだ有効なIKE-SAを持っているかどうかを検出するために使用されます。定期的に"ISAKMP R-U-THERE" パケットをピアに送信し、ピアは"ISAKMP R-U-THERE-ACK" パケットで確認応答します。

Palo Alto Networksは現時点でDPD パケットに関連するログをもっていませんが、デバッグパケットキャプチャで検出できます。以下はピアデバイスからのpcapです:

Mar 4 14:32:36 ike_st_i_n: Start, doi = 1, protocol = 1, code = unknown (36137), spi[0..16] = cd11b885 588eeb56 ..., data[0..4] = 003d65fc 00000000 ...

Mar 4 14:32:36 DPD; updating EoL (P2 Notify

Mar 4 14:32:36 Received IKE DPD R_U_THERE_ACK from IKE peer: 169.132.58.9

Mar 4 14:32:36 DPD: Peer 169.132.58.9 is UP status_val: 0.

DPD のクエリと遅延間隔は、Palo Alto Networks デバイスでDPDが有効になっているときに設定できます。DPDはピアが応答しなくなったことを認識するとSAを破棄します。

注: DPDは永続的ではありません、またフェーズ2のRe-Keyによってのみトリガーされます。つまりフェーズ2が稼働している場合、Palo Alto Networks ファイアウォールはIKE-SAがアクティブかどうかを確認しません。フェーズ1のIKE-SAを確認するためのDPDをトリガーするために、フェーズ2のRe-Keyをトリガーするには、トンネルモニタリングを有効にします。

トンネルモニタリング

トンネルモニタリングはIPSec トンネル全体の接続性を確認するために使用されます。トンネルモニタープロファイルを作成する際に、トンネルが使えない場合の2つのアクションオプションとして、"回復を待機(Wait Recover)"か"フェイルオーバー(Failover)"のどちらかを指定します。