A01264

動的アドレスを利用した IPsec VPN で、過去に利用したアドレスが再度割り当てられるとVPN経由での通信ができなくなることがあります。本機の DPD 設定が無効になっていたり、DPD が動作しない環境では、古いアドレスに基づく IPsec SA が削除されないまま残ることがあり、当該アドレスが再度割り当てられた場合にと IPsec SA を再利用してしまうために発生します。

DPD が動作しない環境において、動的アドレスを利用した IPsec VPN を構築している場合に影響を受けます。影響を受ける時間は、IPsec SA の有効時間内となります。

アドレスの変更が複数回生じ、過去に利用したアドレスが再度割り当てられた場合に対向機器に IPsec SA の不一致を示すログが残ります。この際、本機はアドレスの変更を検知したにも関わらず IPsec SA の再構築を行いません。

DPD を有効にして下さい。アドレス変更後に DPD による接続断検知が動作し、古い IPsec SA が消去されます。 本現象が発生した場合は、clear ipsec security-association コマンドで復旧します。

動的アドレスを利用した IPsec VPN を構築している場合、過去に利用したアドレスが再度割り当てられるとVPN経由での通信ができなくなることがある問題を修正しました。