« Syslogにメッセージを記録するコマンド | トップページ | NetScreenでICMPリダイレクトはサポートされますか? »

IKE HeartbeatとVPN Monitorの違い

NetScreenでは
VPNトラフィックが無い場合でもトンネルを維持するための機能として
IKE heartbeatとVPN Monitorの機能が利用できる。
しかし、似通った動作・用途のため利用するケースを混同、困惑しやすい
IKE heartbeatとVPN Monitorについて解説する。

----------------------------------------------------------------------
IKE heartbeatは一般的にポリシーベースVPNのトンネル接続検知と
フェイルオーバーに利用し、 VPN monitorは一般的にルートベースVPNで
VPNのダウンを検知/報告しVPNを再接続するために利用する。

IKE heartbeatはVPNトンネルの可用性を検出するためにLucentが定義した
IKE拡張仕様であり、VPN monitorにはICMPのエコー/レスポンスが用いられる。
このつの手法はいずれもトンネルの障害を検知するという同じ目的を持った
機能でありトラフィックがない場合でもトンネルを自動的に接続し続けようと
する。

IKE heartbeatは最初に実装され、主にポリシーベースVPNでトンネルの
フェイルオーバーを行うためのVPNグループで用いられる。
尚、IKE heartbeatの機能を利用するにはトンネルの両端のデバイス同士が
必ずIKE heartbeatをサポートしなければならない。

VPN Monitorは当初、VPNトンネルの障害をSNMPで報告し、ログイベントに
記録するために開発されたが、その後拡張されIKE heartbeatが持っていた
トンネル再接続の機能も提供できるようになった。
しかし、VPN MonitorはルートベースVPNを利用する際には更に機能的である。

VPN Monitorがトンネルのダウンを検知すれば、仮想のトンネルインターフェ
ースをダウンとする事ができ、それによって、そのインターフェースに関連
している全ての経路情報(ルーティング)もダウンさせることができる。
(あるいは、ダイナミックルーティングプロトコルにそのルートの削除を
知らせる。これは、物理インターフェースのケーブルを引き抜き、、
レイヤ2のリンク状態をダウンさせる事と等しい。)
VPN Monitorは他のベンダーとの相互運用性を高めるためにICMPが
モニタリング用のプローブとして用いられる。
----------------------------------------------------------------------

まとめ

■ IKE heartbeat

 ・一般的にポリシーベースVPNのトンネル接続検知とVPNグループ利用時の
  フェイルオーバーに利用
 ・VPNトンネルの可用性を検出するためにLucentが定義したIKE拡張仕様
 ・IKE heartbeatは対向の両方のデバイスでサポート(設定)されないと
  利用できない(MUST)

■ VPN Monitor

 ・一般的にルートベースVPNでVPNのダウンを検知/報告しVPNを再接続
  するために利用
 ・他ベンダの相互運用性のために、ICMPエコー/レスポンスを用いる。
 ・VPN Monitorは対向デバイスでサポートされていなくても利用できる。
 ・VPN Monitorがトンネルのダウンを検知し、トンネルインターフェースの
  ステータスを変化させる事によって、関連するルーティングも動的に
  変化させる事ができる。(Static、Dynamicのルーティング)

参考:

When should I use IKE Heartbeat and when should I use VPN Monitor
http://kb.juniper.net/KB6786

|

« Syslogにメッセージを記録するコマンド | トップページ | NetScreenでICMPリダイレクトはサポートされますか? »

「NetScreen」カテゴリの記事

トラックバック

この記事のトラックバックURL:
http://app.f.cocolog-nifty.com/t/trackback/153537/5150372

この記事へのトラックバック一覧です: IKE HeartbeatとVPN Monitorの違い:

« Syslogにメッセージを記録するコマンド | トップページ | NetScreenでICMPリダイレクトはサポートされますか? »