CloudBridge Connector

• データセンター1として指定されたデータセンター内のCitrix ADCアプライアンスNS_アプライアンス-1
• データセンター-2 として指定されたデータセンター内の F5 BIG-IP アプライアンス F5-BIG-IP アプライアンス 1

• Citrix ADCアプライアンスは稼働しており、インターネットに接続されており、CloudBridge Connectorトンネルを介してトラフィックを保護するプライベートサブネットにも接続されています。
• F5 BIG-IP アプライアンスは稼働しており、インターネットに接続されており、トラフィックが CloudBridge Connector トンネルを介して保護されるプライベートサブネットにも接続されています。
• Citrix ADCアプライアンスとF5 BIG-IPアプライアンス間のCloudBridge Connectorトンネルでは、以下のIPSec設定がサポートされています。
  • IPSec モード:トンネルモード
  • IKE バージョン:バージョン 1
  • IKE 認証方法：事前共有キー
  • IKE 暗号化アルゴリズム:AES
  • IKE ハッシュアルゴリズム:HMAC SHA1
  • ESP 暗号化アルゴリズム:AES
  • ESP ハッシュアルゴリズム:HMAC SHA1
• CloudBridge Connectorトンネルの両端で、Citrix ADC アプライアンスと F5 BIG-IP アプライアンスで同じ IPSec 設定を指定する必要があります。
• Citrix ADCは、IKEハッシュアルゴリズムとESPハッシュアルゴリズムを指定するための共通パラメータ（IPSecプロファイル内）を提供します。また、IKE 暗号化アルゴリズムと ESP 暗号化アルゴリズムを指定するためのもう 1 つの共通パラメータも用意されています。 したがって、F5 BIG-IP アプライアンスでは、IKE（フェーズ 1構成）と ESP（フェーズ 2構成）で同じハッシュアルゴリズムと同じ暗号化アルゴリズムを指定する必要があります。
• 次のことを許可するには、Citrix ADC側とF5 BIG-IP側でファイアウォールを構成する必要があります。
  • ポート 500 の任意の UDP パケット
  • ポート 4500 に対する任意の UDP パケット
  • 任意の ESP（IP プロトコル番号 50）パケット

• IPsec 用の転送仮想サーバーを作成します。転送仮想サーバは、IPsec トンネルの IP トラフィックを代行受信します。
• **IKE ピアを作成します。**IKE ピアは、ローカルおよびリモートの IPsec トンネルエンドポイントを指定します。また、IPsec IKE フェーズ 1 で使用するアルゴリズムとクレデンシャルも指定します。
• **カスタム IPsec ポリシーを作成します。**ポリシーは、IPsec トンネルの形成に使用する IPSec プロトコル (ESP) とモード (トンネル) を指定します。また、IKE IPsec フェーズ 2 で使用するアルゴリズムとセキュリティパラメータも指定します。
• 双方向 IPsec トラフィックセレクタを作成します。トラフィックセレクタは、IPトラフィックがIPSecトンネルを通過するF5 BIG-IP側とCitrix ADC側のサブネットを指定します。

1. \[メイン\] タブで、\[ローカルトラフィック\] > \[仮想サーバー\] をクリックし、\[作成\] をクリックします。
2. 「 新規仮想サーバー・リスト」 画面で、次のパラメータを設定します。
   • **Name：**仮想サーバの一意の名前を入力します。
   • タイプ。\[転送 (IP)\] を選択します。
   • 宛先アドレス。ワイルドカードネットワークアドレスを CIDR 形式で入力します。たとえば、IPv4 の場合は 0.0.0.0/0 と入力して、すべてのトラフィックを受け入れます。
   • サービスポート。リストから \[すべてのポート\] を選択します。
   • プロトコルリスト。リストから \[すべてのプロトコル\] を選択します。
   • VLAN およびトンネルトラフィック。デフォルトの \[すべての VLAN とトンネル\] のままにします。
3. \[完了\] をクリックします。

1. \[メイン\] タブで、\[ネットワーク\] > \[IPsec\] > \[IPsec ポリシー\] をクリックし、\[作成\] をクリックします。
2. \[新しいポリシー\] 画面で、次のパラメータを設定します。
   • **Name：**ポリシーの一意の名前を入力します。
   • IPsec プロトコル。デフォルトの選択である ESP を保持します。
   • モード。\[トンネル\] を選択します。画面が更新され、関連する追加設定が表示されます。
   • トンネルローカルアドレス。ローカル IPsec トンネルエンドポイントの IP アドレスを入力します（F5 BIG-IP アプライアンスで構成）。
   • トンネルリモートアドレス。リモートの IPsec トンネルのエンドポイントの IP アドレス（Citrix ADC アプライアンスで構成）を入力します。
3. IKE フェーズ 2 パラメータの場合は、デフォルト値をそのまま使用するか、展開に適したオプションを選択します。
4. \[完了\] をクリックします。

1. \[ メイン \]タブで、\[ ネットワーク \] > IPsec > トラフィックセレクターをクリックし、**\[ 作成\]**をクリックします。
2. \[ 新しいトラフィックセレクタ\] 画面で、次のパラメータを設定します。
   • **Name：**トラフィックセレクタの一意の名前を入力します。
   • 注文。既定値 **(\[最初\])**をそのまま使用します。この設定では、トラフィックセレクタが \[Traffic Selector List\] 画面に表示される順序を指定します。
3. 「 構成 」リストから「 詳細 」を選択し、次のパラメータを設定します。
   • 送信元 IP アドレス。\[ **ホスト\]**または\[ ネットワーク\]をクリックし、\[ アドレス\] フィールドに、IPsecトンネルを介してトラフィックを保護するF5BIG-IP側サブネットのアドレスを入力します。
   • 送信元ポート。\[* すべてのポート\] を選択します。
   • 宛先 IP アドレス。［ ホスト］をクリックし、［ アドレス］フィールドに、トラフィックがIPSecトンネル上で保護されるCitrix ADC側のサブネットのアドレスを入力します。
   • 宛先ポート。\[* すべてのポート\] を選択します。
   • プロトコル。\[* すべてのプロトコル\] を選択します。
   • \[方向\]: \[両方\] を選択します。
   • 操作。［ 保護］を選択します。\[IPsec ポリシー名\] の設定が表示されます。
   • IPsec ポリシー名。作成したカスタム IPsec ポリシーの名前を選択します。
4. \[完了\] をクリックします。

• IPSecプロファイルを作成します。IPSec プロファイルエンティティは、IKE バージョン、暗号化アルゴリズム、ハッシュアルゴリズム、認証方法などの IPSec プロトコルパラメータを指定します。このパラメータは、CloudBridge Connector トンネル内の IPSec プロトコルで使用されます。
• IPSec プロトコルを使用する IP トンネルを作成し、IPSec プロファイルを関連付けます。IPトンネルは、ローカルIPアドレス（Citrix ADCアプライアンス上で構成されたCloudBridge ConnectorトンネルエンドポイントIPアドレス（SNIPタイプ））、リモートIPアドレス（F5ビッグIPアプライアンス上で構成されたCloudBridge ConnectorトンネルエンドポイントIPアドレス）、CloudBridgeのセットアップに使用するプロトコル（IPSec）を指定します。コネクタトンネル、および IPSec プロファイルエンティティ。作成された IP トンネルエンティティは、CloudBridge Connectorトンネルエンティティとも呼ばれます。
• **PBR ルールを作成し、IP トンネルに関連付けます。**PBR エンティティは、一連のルールと IP トンネル (CloudBridge Connectorトンネル) エンティティを指定します。送信元 IP アドレスの範囲と宛先 IP アドレスの範囲は、PBR エンティティの条件です。送信元 IP アドレスの範囲を設定して、トンネル経由でトラフィックを保護する Citrix ADC 側のサブネットを指定し、送信先 IP アドレス範囲を設定して、トンネル経由でトラフィックを保護する F5 BIG-IP 側のサブネットを指定します。

• add ipsec profile <name> -psk <string> -ikeVersion v1 -encAlgo AES -hashAlgo HMAC_SHA1 -perfectForwardSecrecyENABLE
• show ipsec profile** <name>

• add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName <string>
• show ipTunnel <name>

• add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> -ipTunnel <tunnelName>
• apply pbrs
• show pbr <pbrName>

1. \[システム\] > \[CloudBridge Connector\] > \[IPSec プロファイル\] に移動します。
2. 詳細ペインで、［Add］ をクリックします。
3. \[IPSec プロファイルの追加\] ページで、次のパラメータを設定します。
   • Name
   • 暗号化アルゴリズム
   • ハッシュアルゴリズム
   • IKE プロトコルバージョン
4. 2 つの CloudBridge Connector トンネルピアが相互認証に使用する IPSec 認証方法を設定します。 事前共有キー認証方法 を選択し、事前共有キーが存在 パラメータを設定します。
5. ［Create］ をクリックしてから、［Close］ をクリックします。

1. \[システム\] > \[CloudBridge Connector\] > \[IP トンネル\] に移動します。
2. \[ IPv4 トンネル \] タブで、\[ 追加\] をクリックします。
3. \[IP トンネルの追加\] ページで、次のパラメータを設定します。
   • Name
   • リモート IP
   • リモートマスク
   • \[ローカル IP タイプ\] (\[ローカル IP タイプ\] ドロップダウンリストで、\[サブネット IP\] を選択します)。
   • ローカル IP（選択した IP タイプの構成済みの IP アドレスはすべて、\[ローカル IP\] ドロップダウンリストに表示されます。リストから目的の IP を選択します）。
   • プロトコル
   • IPSec プロファイル
4. ［Create］ をクリックしてから、［Close］ をクリックします。

1. \[システム\] > \[ネットワーク\] > \[PBR\] に移動します。
2. \[ PBR \] タブで、\[ 追加\] をクリックします。
3. \[PBR の作成（Create PBR ）\] ページで、次のパラメータを設定します。
   • Name
   • 操作（アクション）
   • ネクストホップタイプ（ IP トンネルの選択）
   • IP トンネル名
   • 送信元 IP の低
   • 送信元 IP 高
   • 宛先 IP の低
   • 宛先 IP 高
4. ［Create］ をクリックしてから、［Close］ をクリックします。

    >  add ipsec profile NS_F5-BIG-IP_IPSec_Profile -psk  examplepresharedkey -ikeVersion v1 –encAlgo AES –hashalgo HMAC_SHA1 –lifetime 315360 -perfectForwardSecrecy ENABLE


    Done

    >  add iptunnel NS_F5-BIG-IP_Tunnel 203.0.113.200 255.255.255.255 198.51.100.100 –protocol IPSEC –ipsecProfileName NS_F5-BIG-IP_IPSec_Profile


    Done

    > add pbr NS_F5-BIG-IP_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnel NS_F5-BIG-IP_Tunnel


    Done

    > apply pbrs


    Done