IPsec/IKEv2（事前共有鍵）

IKEv2とは

IKEv2（Internet Key Exchange Version 2）は、IPsec（Internet Protocol Security）で使用される鍵交換および認証のためのプロトコルです。
IPsecトンネルの暗号化に必要な鍵を安全に生成・交換し、通信相手を認証します。
IKEv2はIKEv1の改良版であり、再接続の高速化、モビリティ（MOBIKE）対応、メッセージ交換の効率化などが行われています。
現在では、VPN構築時の標準的な鍵交換プロトコルとして広く採用されています。

IKEv2の設定

下記の構成図でIPSecのIKEv2を構成します。

IPSecに関する設定以外は、以下のページで紹介しているので興味がある方はご確認ください。

IKEv2ポリシーの設定

IKEv2で使用する暗号化およびハッシュアルゴリズムを設定して、IKEv2のポリシーに関連付けます。

💡 IKEv2では、暗号アルゴリズム・ハッシュ・Diffie-Hellmanグループをproposalで定義し、
それをpolicyで紐づける構造になっています。IKEv1のcrypto isakmp policyとは異なります。

事前共有鍵（Pre-Shared Key：PSK）の設定

IKEv2で使用する事前共有鍵（Pre-Shared Key：PSK）を設定します。

💡 DMVPN環境では、Hubが複数のSpokeから接続を受け入れるため、peer ANY を使用して全アドレスを許可します。
1対1のVPN構成では、特定の相手アドレスを指定しても構いません。

IKEv2プロファイルの設定

IKEv2プロファイルを設定し、事前共有鍵（Pre-Shared Key：PSK）を使用して認証します。

IKEv1では「crypto isakmp key」コマンドで事前共有鍵を設定していましたが、IKEv2ではキーリングを作成してそれを基にIKEv2のプロファイルを作成します。

IPsecトランスフォームセットの設定

IPsecトンネルを暗号化するためのトランスフォームセットを設定します。

内容はIKEv1と同様です。

IPsecプロファイルの設定

IKEv2プロファイルとトランスフォームセットを関連付けたIPsecプロファイルを作成し、これをトンネルインターフェースに適用します。

GREトンネルへのIPsecプロファイルの適用

最後に、トンネルインターフェースにIPsecプロファイルを適用して、トンネルを暗号化します。

設定後の動作確認

IKEv2はisakmpによる暗号化が行われないため、確認をしても表示されません。

代わりに、IKEv2のステータスを確認することが出来ます。

IPSec SAのステータスについてはIKEv1と同様に確認することが出来ます。