IPSECとL2TP/IPSECの違いについて

質問

基本的な事ですいません。よくわからなくて困っておりますので助けていただけると助かります。

ヤマハのルータRTX1100と107eを使って２拠点間VPNを構築しようと思っています。ipsecを使う予定なのですが、ヤマハのサイトなど色々調べても、l2tp/ipsecでのVPNの設定例はiphoneやipadと拠点をつなぐ例になっているものばかりで、ルータを使っての拠点間VPNの場合はipsecの設定が紹介されています。
そもそもルータでつなぐ拠点間VPNの場合は選択肢としてl2tp/ipsecを使うことはできないのでしょうか？　（意味ないのでしょうか？）

l2tp/ipsecの方が新しいファームから実装されているようなので、スピードやセキュリティ面でもそちらを使った方がいいのかなと思っているのですが（単純ですいません）

l2tp/ipsecを使うべきかipsecのみでいいのか教えていただけると幸いです

回答No.2

nnori7142 · ベストアンサー

お尋ねの件ですが、L2TPアクセス自体リモートアクセス型接続ですので、LAN間接続VPNでは出来ません。
　参考サイト・・「http://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/#support」
　因みに、RT107EのL2TPアクセスはファームウェア更新した際に利用可能となりますが、認証レベルはchapかpapしか対応出来ません。特定のアンドロイド端末ですと、mschap-v2しか対応出来ない機種もありますので、注意点です。
　よって、LAN間VPNはIPSEC-VPNになりますが、アクセスレスポンスで言うと「3des-cbc sha-hmac」、セキュリティレベルで言うと「aes256-cbc sha256-hmac」になります。なおIPSEC-VPN接続には、鍵交換用ポート解放・パススルー設定（UDP500）と、暗号化双方向通信ポートとしてespパケットをパススルーする設定が必要です。
　それと、相手先IPセグメント（対向ルーターセグメント）のネットワーク経路を通知する設定（静的ルーティング）をIPSECトンネルルートアクセス出来るようにしないといけません。Yamahaでは出来ませんが、富士通ルーターでは、「Ethernet over IP」設定をする事で、全拠点・同一セグメントでのアクセスが可能です。IPSECトンネル通信内部に仮想HUBを構築し、仮想HUBを経由して同一セグメントアクセスを可能としています。
　つまり、Yamahaルーターで構築する場合、夫々の拠点のIPアドレスは違う数値でなければいけない点、YamahaルーターのWAN側の接続機器（モデム）により、モデム内部にDMZ設定（YamahaのWAN側に全転送）、若しくは静的IPマスカレードにてespパケットとUDP500番の通信をYamahaWAN側へ転送する設定、モデムにもスタティックルート設定でYamahaとセグメント通信出来るようにする作業が発生することも想定されます。
　Yamahaルーターが、上記の様にルーターモデムに接続するのではなく、自身でPPPOE接続する場合にはYamahaのみの設定でOKです。　※IPSEC-VPN接続する為には、グローバルIPが最低1個必要です。（NetvolanteDNSドメインでも代用可能です）

お礼

nnori7142様
大変詳細な、またご親切に説明いただき有難うございます
よく理解できました(つもりです^^)

７日間本とネットにかじりついてましたが、ようやく出口が見えてきました
技術はもちろんですが、機器の特性などネットワークは難しいですね

PS：いつもこのサイトは見てましたが初めて質問しました
　　本当に助かります、ありがとうございました

回答No.1

jtake00

マニュアルはちゃんとみてますか？

とりあえずYamahaのHPより
http://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/index.html
の制限事項
＞リモートアクセスVPNのサーバーとして動作します。クライアントとしては動作しません。
です。
iPhone（クライアント）－＞ルータ（ホスト）
は可能ですが
ルータ（クライアント）－＞ルータ（ホスト）
は出来ないって事です。
あくまでYamahaのルータの機能制限です。

お礼

itake00様

言われるとおりですね「•LAN間接続VPNには対応していません。 」とありました
できるに違いないと思い込んでました

こんなに早く投稿してもらえるなんて、本当にありがとうございます
ハマル時間が最小限ですみました、感謝です