iPhoneでIPv6のリモートアクセスVPNをIKEv2でつなげたお話。【RTX830】

はじめに
前提条件
IPフィルターの設定
1. すべてのIPv6アドレスのポートを開放する場合
2. ルーターのIPv6アドレスをra-prefix@lan2::1で設定している場合
トンネル設定
1. IKEv2トンネルの設定
2. L2TP/IPsecトンネルの設定
iPhoneでVPNトンネルの設定
1. 実はIPv4/IPv6のデュアルスタックでVPN接続ができる
終わりに
参考情報

はじめに

iPhoneではL2TP/IPsecでのIPv6を使用したリモートアクセスVPNがなぜか利用できず、だったらIKEv2を使ってみたらできたぜ！！！というお話です。

みなさんの参考になればと思います。

前提条件

RTX830環境で構築しています。Configを改変すれば、リモートアクセスVPNのIKEv2が対応している機種であれば普通に使えるかと思います。(あくまで参考程度にお願いします。)
インターネットの基本的な設定は完了しており、IPv6インターネットができる状態とします。
IKEv2とL2TP/IPsecは共存する前提といたします。
Tunnel 10をIKEv2とし、Tunnel 11をL2TP/IPsecのトンネルといたします。
IPv6のDDNSはi.open.ad.jpを使用し、すでにDDNS設定が完了していることとします。
L2TP/IPsecトンネルはIPv4での通信を前提とし、すでに設定している状態とします。
- あくまで参考情報としての設定となります。

IPフィルターの設定

まずIPv6のIPフィルターを使用し、必要なポートを開放します。IPv6のすべてのアドレスのポートを開放している設定になるため、セキュリティレベルを上げるのであれば、ルーターのIPのみの開放をおすすめします。

これは余談ですが、RTX830で1つだけIPv6アドレスを設定しているのであれば、i.open.ad.jpで登録されているIPv6アドレスはそのアドレスしかないので問題はありませんが、複数のアドレスを設定している場合どのアドレスがi.open.ad.jpに登録されるのか正直不明なところがあるので、フルで入力するのがいいのかもしれません。

すべてのIPv6アドレスのポートを開放する場合

ipv6 filter 1040 pass * * udp * 500
ipv6 filter 1041 pass * * esp
ipv6 filter 1042 pass * * udp * 4500
#ポート番号1701はリモートアクセスVPNでL2TP/IPsecを使用する場合に使います。
ipv6 filter 1043 pass * * udp * 1701

ルーターのIPv6アドレスをra-prefix@lan2::1で設定している場合

(実はra-prefix@lan2のコマンドはIPフィルターでも使える！！！)

ipv6 filter 1040 pass * ra-prefix@lan2::1 udp * 500
ipv6 filter 1041 pass * ra-prefix@lan2::1 esp
ipv6 filter 1042 pass * ra-prefix@lan2::1 udp * 4500
#ポート番号1701はリモートアクセスVPNでL2TP/IPsecを使用する場合に使います。
ipv6 filter 1043 pass * ra-prefix@lan2::1 udp * 1701

トンネル設定

IKEv2トンネルの設定

IKEv2のトンネル設定を行います。ローカルネームは一応i.open.ad.jpと同等のものにしていますが、多分違うやつでも行けそうな気がしています。

事前共有キーとリモートネームは、任意の値でOKです。

IKEv2ではipsec auto refresh はoffで設定してください。

tunnel select 10
 description tunnel iPhone
 tunnel encapsulation ipsec
 ipsec tunnel 10
  ipsec sa policy 10 1 esp
  ipsec ike version 10 2
  ipsec ike keepalive log 10 off
  ipsec ike keepalive use 10 on rfc4306 10 3
  #ローカルネームは別途作成しても問題ないと思います。
  ipsec ike local name 10 "設定したi.open.ad.jpホスト" fqdn
  #事前共有キーは任意のパスワードで入力するといいと思います。
  #強力なパスワードでセキュリティレベルを上げるのも一つの手だと思います。
  ipsec ike pre-shared-key 10 text 事前共有キー
  #任意のリモートアドレスを設定します。端末名にするとわかりやすいと思います。
  ipsec ike remote name 10 (例:iphone_15_pro.com) fqdn
  ipsec ike mode-cfg address 10 1
  ipsec auto refresh 10 off
 tunnel enable 10
#端末に割り当てるIPアドレス範囲を設定します。DHCPスコープ範囲と被らないよう注意。
ipsec ike mode-cfg address pool 1 192.168.1.200-192.168.1.210/24

L2TP/IPsecトンネルの設定

L2TP/IPsecと共存する設定を入れます。

使用しない場合、いれる必要はありませんが、複数の選択肢を入れておきたいという意味では入れておくと良いと思います。

また、L2TP/IPsecのトンネルでは必ずipsec transport udp1701を必ず入れましょう。入れないと繋がりません。

#ユーザー設定
pp select anonymous
 pp bind tunnel11
 pp auth request (認証方式)
 pp auth username (ユーザー名) (パスワード)
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ppp ccp type none
 ip pp remote address pool dhcp
 pp enable anonymous

#L2TP/IPsecトンネルの設定
tunnel select 11
 tunnel encapsulation l2tp
 ipsec tunnel 11
  ipsec sa policy 11 11 esp aes256-cbc sha256-hmac
  ipsec ike keepalive use 11 off
  ipsec ike nat-traversal 11 on
  ipsec ike pre-shared-key 11 text 事前共有キー
  ipsec ike remote address 11 any
 l2tp tunnel disconnect time off
 ip tunnel tcp mss limit auto
 tunnel enable 11
ipsec transport 11 11 udp 1701
ipsec auto refresh on

iPhoneでVPNトンネルの設定

iPhoneのVPN設定を行います。簡単です。すぐにできます。

iPhoneの設定から[一般]→[VPNとデバイス管理]→[VPN]へ行き、[VPN構成を追加]を選択し、以下の項目を入力します。

タイプ	IKEv２
説明	VPNの接続名(任意の値でわかりやすいもの)
サーバ	i.open.ad.jpの設定ホスト名
リモートID	ipsec ike local nameで設定した値
ローカルID	ipsec ike remote nameで設定した値
ユーザ認証	なし
証明証を使用	オフ
シークレット	ipsec ike pre-shared-keyで設定した事前共有キー