Cisco 300-410: VPN、トンネリング、リモート接続 — 学習ガイド

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

こちらの一部です： Cisco CCNP Enterprise 300-410 ENARSI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

VPN、トンネリング、リモート接続技術は、共有ネットワーク上でポリシーに基づいたプライベートな通信を可能にします。設計は、カプセル化の選択肢（GRE、IPsec、VTI）、鍵交換（IKEv1/2）、コントロールプレーンの解決（DMVPNにおけるNHRP）、そしてトランスポートの現実的な課題（MTU、NAT、フェイルオーバー）に左右されます。このセクションでは、これらの構成要素を組み合わせて、サイト間およびリモートアクセスの両方のユースケースに対応する、スケーラブルでセキュア、かつ回復力のあるオーバーレイネットワークを構築する方法について説明します。

GREとIPsecの基礎

Generic Routing Encapsulation (GRE) は、IPアンダーレイ上でほぼすべてのレイヤー3プロトコルを伝送できる、シンプルでステートレスなカプセル化方式です。主な特徴は以下の通りです。

動作とカプセル化: GREは、20バイトのアウターIPヘッダーに加えて4バイトのGREヘッダー（合計24バイト）を追加します。GRE自体には暗号化や認証の機能はありません。
ルーティング: GREは、ルーティングに参加し、オーバーレイ上でのIGPネイバー関係をサポートする番号付きトンネルインターフェースを提供します。
MTU、フラグメンテーション、MSS: 追加されたオーバーヘッドにより、実効ペイロードMTUが減少します。対策を講じないと、PMTUDブラックホールやIPフラグメンテーションによってパフォーマンスが低下する可能性があります。ベストプラクティスは、トンネルインターフェースのMTUを小さく設定し、TCP MSSをクランプしてオーバーレイでのフラグメンテーションを回避することです。

安全なMTUとMSSを設定したGREポイントツーポイントの例:

interface Tunnel1
 ip address 172.20.1.2 255.255.255.0
 ip mtu 1400
 ip tcp adjust-mss 1360
 tunnel source 10.10.2.2
 tunnel destination 10.10.1.1

IPsecは、機密性、完全性、アンチリプレイ機能を提供します。

モード: トランスポートモードはペイロードのみを保護し、元のIPヘッダーはそのまま残ります。トンネルモードは、IPパケット全体を新しいアウターIPヘッダーでカプセル化します。GRE over IPsecでは通常、オーバーヘッドを最小限に抑えるためにIPsecトランスポートモードが使用されます。ルートベースのVTIではIPsecトンネルモードが使用されます。
セレクタ（プロキシID / トラフィックセレクタ）: 保護対象となる5タプルフローを定義します。ポリシーベースVPNではACLを使用してセレクタを定義しますが、ルートベースVPNではトンネルインターフェースに紐付けられた0.0.0.0/0（または::/0）セレクタを使用し、ルーティングによって対象トラフィックが決定されます。
暗号化と完全性: AES-GCMは、単一のトランスフォームで認証付き暗号化を提供し、AES-CBC + HMACと比較してパケットごとのオーバーヘッドを削減します。前方秘匿性（PFS）のために、モダンなDHグループ（14/19+）を使用してください。両方のピアでトランスフォーム/プロポーザルの機能を一致させる必要があります。

フラグメンテーションとスループットのトレードオフ:

**事前フラグメンテーション（先読みフラグメンテーション）**はトンネルモードでのみ機能します。アンダーレイ上で追加のIPフラグメントが発生するコストと引き換えに、復号側のエンドホストでの再構築を回避することでスループットを向上させることができます。
暗号化後フラグメンテーションは、トランスポートモードのGRE over IPsecやNAT-Tでよく使用されます。MSSクランピングと組み合わせることで、PMTUDブラックホールが発生する可能性を低減します。
PMTUD vs 固定MTU: アンダーレイでICMPがフィルタリングされている場合は、保守的なトンネルMTUとMSSクランピングに依存します。

トンネルプロテクションを使用してGREにIPsecを適用する:

crypto isakmp policy 10
 encr aes 256
 hash sha256
 authentication pre-share
 group 14
 lifetime 28800
crypto isakmp key Test address 0.0.0.0 0.0.0.0
crypto ipsec transform-set TS esp-gcm 256 mode transport
!
crypto ipsec profile GRE-PROF
 set transform-set TS
!
interface Tunnel10
 ip address 10.10.10.1 255.255.255.0
 ip mtu 1400
 ip tcp adjust-mss 1360
 tunnel mode gre multipoint
 tunnel protection ipsec profile GRE-PROF

鍵交換、NATトラバーサル、VPNのスタイル

IKEはIPsecのためのSAをネゴシエートします。

IKEv1: フェーズ1ではメインモードとアグレッシブモード、フェーズ2ではクイックモードを使用します。ポリシー（「crypto isakmp policy」）、認証（PSKまたは証明書）、ライフタイム、DHグループを設定します。トラブルシューティングは、show crypto isakmp saコマンドや、MM/AM/QM交換およびプロキシIDの不一致に関するデバッグで行います。
IKEv2: プロポーザル、ポリシー、プロファイルを持つ単一の交換モデルです。複数の子SA、リモートアクセス用のEAP、より優れたエラーシグナリングをサポートします。FlexVPNは、IKEv2とVTIによるルートベースの動作を標準化しています。トラブルシューティングは、show crypto ikev2 sa/session、show crypto ipsec sa、およびデバッグで行います。

NATトラバーサルとキープアライブ:

NAT-Tは、経路上にNATが存在することを検出し、ESPをUDP/4500でカプセル化します。両方のピアでNAT-Tが有効になっていることを確認してください。IKEキープアライブとDPD (Dead Peer Detection) は古いSAを削除します。タイマーはアプリケーションの要件に合わせて調整してください。
トンネルの送信元/宛先の到達可能性が基本です。アンダーレイはトンネルエンドポイントへのルーティングが可能でなければなりません。静的ルートまたは動的なアンダーレイルーティングを提供し、フェイルオーバーイベントが発生してもアウターIPへの到達可能性が維持されるようにします。
GREキープアライブはポイントツーポイントGREでは機能しますが、mGREでは機能しません。オーバーレイでは、IGPタイマー、NHRPタイマー、またはBFDを使用します。BFD制御パケットはUDPポート3784を使用し、パス障害を迅速に検出できます。IGPと統合することで、サブ秒単位のコンバージェンスを実現します。

ポリシーベースVPN vs ルートベースVPN:

ポリシーベース: ACLの「interesting traffic」セレクタを持つクリプトマップを使用します。長所: 小規模で静的なサイト間接続にはシンプルです。短所: プレフィックスが多いと複雑になり、非対称ルーティングの問題が発生しやすく、スポーク間通信のサポートが不十分です。
ルートベース: デフォルト（any/any）セレクタを持つ仮想トンネルインターフェース（VTI/dVTI/FlexVPN）を使用し、ルーティングによって保護対象フローを決定します。長所: スケーラブルで、動的ルーティングやヘアピン/スポーク間通信をサポートし、暗号化設定がシンプルです。現代的な設計で推奨されます。

IKEv2/FlexVPNによるリモートアクセス:

IKEv2プロファイル、EAP認証、およびdVTIを使用して、ユーザーごと/グループごとのポリシーを割り当てます。診断はshow crypto ikev2 saとAAAログで行います。MSSクランピングとスプリットトンネリングは、多様なクライアントネットワークにおけるMTUとパフォーマンスの問題を緩和します。

フォールバックのためのポリシーベースルーティング:

通常はルーティングされないフローをトンネルや特定の出口に誘導する場合、PBRとset ip default next-hopを使用して、RIBに一致するルートがない場合のデフォルトネクストホップを指定します。これにより、フェイルオーバー時に静的なデフォルトルートへの依存を最小限に抑えることができます。

DMVPNの設計と運用

DMVPNは、mGRE、NHRP、IPsecを組み合わせて、スケーラブルなハブアンドスポーク型またはスポークツースポーク型のトポロジーを構築します。

mGRE: 1つのトンネルインターフェースで多数のピアを動的に終端します。ハブ側でスポークごとのトンネルは不要です。トンネルのエンドポイントは、単一の「any-to-any」NBMAアドレスになります。
NHRP: オーバーレイのネクストホップをアンダーレイのNBMAアドレスに解決します。スポークはハブ上のNHRPネクストホップサーバー (NHS) に登録します。NHRPクエリにより、オンデマンドでのスポークツースポーク解決が可能になります。
スポークと動的IP: NAT配下にある、または動的アドレスを持つスポークは、グローバルに一意なNBMAなしで登録を許可するために ip nhrp registration no-unique が必要になる場合があります。
フェーズ:
- フェーズ1: スポークはすべてのトラフィックでハブを経由します。直接のスポークツースポーク通信はありません。
- フェーズ2: NHRP解決後、スポークはダイレクトトンネルを形成します。ルーティングでは、ネクストホップが不明瞭になるような集約を行わずに、スポークのプレフィックスを広報する必要があります。
- フェーズ3: NHRPリダイレクト/ショートカットを追加してネクストホップを動的に書き換えます。これにより、ハブでの集約と最適なスポークツースポーク転送が可能になります。
DMVPN上のOSPF: mGREはデフォルトでOSPFブロードキャストネットワークタイプになります。隣接関係を安定させるために、ハブがDRになるべきです。そのためには、ハブのOSPFプライオリティを1より大きく、スポークを0に設定します。代替案として、ポイントツーマルチポイントを使用するとDR/BDRを回避できますが、LSAのオーバーヘッドは増加します。
IPv6: tunnel mode gre multipoint ipv6 とIPv6マッピング用のNHRPを使用して、DMVPN上でIPv6隣接関係を構築します。デュアルスタックのオーバーレイでは、同じmGREインターフェース上でIPv4とIPv6を同時に実行できます。
IPsec統合: tunnel protection を使用し、単一のIPsecプロファイルでmGREを保護します。GRE over IPsecにはトランスポートモードが推奨されます。
MTUとフラグメンテーション: ip mtu と ip tcp adjust-mss を控えめな値で適用し、ネゴシエートされるTCP MSSを最大化してPMTUDの失敗を避けるために crypto ipsec fragmentation after-encryption を検討します。

一般的なフェーズ3の設定例:

! Hub
interface Tunnel10
 ip address 10.0.0.1 255.255.255.0
 ip nhrp map multicast dynamic
 ip nhrp network-id 10
 ip nhrp redirect
 tunnel mode gre multipoint
 tunnel protection ipsec profile DMVPN-PROF
 ip ospf network broadcast
 ip ospf priority 100

! Spoke
interface Tunnel10
 ip address 10.0.0.11 255.255.255.0
 ip nhrp network-id 10
 ip nhrp nhs 10.0.0.1
 ip nhrp map multicast dynamic
 ip nhrp shortcut
 ip nhrp registration no-unique
 ip mtu 1400
 ip tcp adjust-mss 1360
 tunnel mode gre multipoint
 tunnel protection ipsec profile DMVPN-PROF

NATトラバーサル: NAT-Tが有効であり、ハブがUDP/500とUDP/4500で到達可能であることを確認してください。動的なスポークツースポークトンネルでは、経路上にNAT-Tリレーが存在しない場合、アンダーレイがスポーク間の直接のUDP/4500およびESP/UDPを許可する必要があります。

運用とトラブルシューティング:

show dmvpn、show ip nhrp、show crypto ipsec sa を使用して、NHRP登録とIPsec SAを検証します。
ルーティングについては、フェーズ2ではハブからの広報がスポークの詳細を不明瞭にしていないこと、フェーズ3ではNHRPリダイレクト/ショートカットが発生していることを確認します。
mGREはGREキープアライブをサポートしていません。障害検出には、NHRP/IGPタイマーまたはBFDに依存します。

IPv6、デュアルスタックセキュリティ、および耐障害性の高いリモート接続

IPv4トンネル経由のIPv6:

IPv4アンダーレイ上のGREはIPv6ペイロードを透過的に伝送し、前述の通りIPsecで保護されます。
6in4 (tunnel mode ipv6ip) はシンプルなポイントツーポイントの選択肢ですが、DMVPN/mGREのスケーラビリティに欠けます。
デュアルスタックのオーバーレイは、同一のGRE/mGRE上でIPv4とIPv6の両方を実行し、単一のIPsec SAセット、またはポリシーで要求される場合は個別のSAで保護されます。

IPv6セキュリティに関する注意点:

RA GuardはL2セグメント上の不正なIPv6 Router Advertisementをフィルタリングしますが、トンネル内部を検査することはできません。そのため、IPv6トラフィックがトンネリングされている場合は保護機能を提供しません。セキュリティはトンネルのエンドポイントとオーバーレイのルーティングプレーンで強制する必要があります。

リモートアクセスの診断と耐障害性設計:

計測: show crypto ikev2 sa/session、show crypto ipsec sa、show crypto session、およびクライアントごとのアカウンティングログ。UDP/500/4500およびESP/UDPでキャプチャしてNAT-Tの動作を観察します。スプリットトンネルのルートがクライアントにインストールされていることを確認します。
MTUの最適化: クライアントは任意のアクセスネットワークを経由するため、ヘッドエンドでTCP MSSクランピングを有効にし、安定したパフォーマンスのために1200–1360のMSSを検討します。パケットロスとPMTUDブラックホール現象の組み合わせは、UX低下の一般的な原因です。
高可用性: オブジェクトトラッキングとSLAプローブを使用して複数のトンネルソース（マルチWAN）を利用し、アンダーレイのデフォルトルートをフェイルオーバーさせます。IGPオーバーレイでは、トンネルの障害検出タイマーを短縮するためにBFDを検討します。フェイルオーバー中の暗号化状態の損失を最小限に抑えるため、ヘッドエンドのクラスタリングに合わせてIKE/子SAの再鍵交換タイマーを短く維持します。
アクセスポリシーとセレクタ: ルートベースのリモートアクセス（dVTI）を優先し、すべてのクライアントトラフィック（またはスプリットされたプレフィックスのみ）が仮想インターフェースにルーティングされるようにします。これにより、脆弱なポリシーベースのセレクタのミスマッチを回避できます。
エンドポイントの到達可能性: クライアントネットワークからヘッドエンドのパブリックアドレスへのアンダーレイのルーティングを常に確認します。WAN内でトラフィックを誘導する場合、RIBルックアップが失敗した際に、set ip default next-hop を使用したポリシーベースルーティングによって、通常はルーティングされないフローを正しい出口に誘導できます。

実践的な問題シナリオ

Contoso Retail社は、ブロードバンドで接続された150の支店を運営しています。同社は、POS（Point-of-Sale）データのレプリケーションのための動的なスポーク間通信、デュアルスタック対応、そしてMTU/NAT問題への耐障害性を備えた、セキュアなハブ＆スポーク接続を必要としています。

アプローチ:

ハブとスポークにmGREを使用し、IPsecトランスポートモードで保護されたDMVPN Phase 3オーバーレイを構築します。

根拠: mGREは、ハブ側でトンネルごとの設定をすることなく、多数のスポークにスケールします。Phase 3はNHRPのショートカット/リダイレクトを介してオンデマンドのスポーク間通信を可能にし、レプリケーションフローを最適化し、ハブの帯域幅を節約します。トランスポートモードは、GRE over IPsecのオーバーヘッドを最小限に抑えます。

最新の暗号技術とNAT-Tを備えたIKEv2に標準化します。

根拠: IKEv2はネゴシエーションを簡素化し、複数の子SAとクリーンなエラー処理をサポートするため、大規模な展開に最適です。NAT-T (UDP/4500) は支店のNATに対応します。パフォーマンスとセキュリティのために、DHグループ19または20とPFSを備えたAES-GCMを使用します。

MTUをエンドツーエンドで設計し、暗号化後のフラグメンテーションを有効にします。

根拠: ブロードバンドプロバイダーはしばしばICMPをブロックし、PMTUDを破壊します。Tunnelインターフェースで ip mtu 1400 と ip tcp adjust-mss 1360 を設定し、さらに crypto ipsec fragmentation after-encryption を使用することで、ブラックホール現象を防ぎ、実効TCP MSSを最大化します。

動的解決とNAT越えのスポークのためにNHRP機能を有効にします。

根拠: ハブでの ip nhrp redirect とスポークでの ip nhrp shortcut により、Phase 3のショートカットが作成されます。ip nhrp registration no-unique は、動的/NAT越えのNBMAアドレスを持つスポークが正常に登録できるようにします。

オーバーレイ上でOSPFを実行し、ハブをDRとし、高速な障害検出のためにBFDを使用します。

根拠: mGREはデフォルトでブロードキャストネットワークタイプになります。ハブのOSPFプライオリティを1より大きく、スポークを0に設定することで、安定したDR/BDR選出と隣接関係の削減を保証します。アグレッシブなタイマーを設定したBFD (UDP/3784) は、トンネル障害時に1秒未満のコンバージェンスを提供します。

同じDMVPNインターフェースにIPv4と並行してIPv6を追加します。

根拠: tunnel mode gre multipoint ipv6 はmGRE上でのIPv6隣接関係を可能にします。デュアルスタックルーティングにより、並列インフラストラクチャを回避できます。RA Guardはトンネル内では効果がないため、オーバーレイのACLとルーティングポリシーを介してIPv6セキュリティを強制します。

鍵交換と運用を強化（Harden）します。

根拠: 最初は事前共有鍵（レガシーIKEv1フォールバック用の crypto isakmp key Test address 0.0.0.0 0.0.0.0、またはIKEv2のキーリング/プロファイル）を使用し、証明書に移行します。古いSAをクリアするために、適切なライフタイムとDPDを設定します。show dmvpn、show ip nhrp、show crypto ikev2 sa、show crypto ipsec sa、およびsyslogで計測します。

アンダーレイの到達可能性を確保し、必要に応じてルーティング/PBRでフェイルオーバーを制御します。

根拠: 静的ルートまたは動的なアンダーレイルーティングは、WANの変更があってもトンネルソースの到達可能性を維持する必要があります。一時的な誘導が必要な場合、RIBルックアップが失敗した際にPBRと set ip default next-hop を使用して、トラフィックを優先的な出口に向けることができます。

この設計により、スケーラブルで暗号化されたデュアルスタック接続が実現され、最適なスポーク間パス、予測可能なMTUの挙動、堅牢なNATトラバーサル、そして障害からの迅速な復旧が可能になります。

← サービス品質とコントロールプレーン保護 · すべてのドメイン · ネットワークサービス、回復性、運用 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

試験に合格する →