NATトラバーサル導入後に問題発生

 だが,他の社員からもx氏と同じ問い合わせが続いたため,B社は思いきってNATトラバーサル機能を採用することにした。VPNクライアントとVPN装置に装備すれば,ユーザーがアドレス変換の有無を意識せずに使える。実際にNATトラバーサルの導入後は,問い合わせが大幅に減った。

 ところがある日,C社に出向中のy氏から,接続できないという連絡が入った。y氏は出向先のC社の社内LANから,インターネット経由でB社とVPN接続しようとしていた。

 IPsec通信を通すには,ファイアウォールにIPsec関連のプロトコルを通す設定が必要になる。例えば,鍵交換のISAKMP通信のためにUDPの500番ポートの通過を許可する。B社は事前にC社に対して設定変更を依頼しており,問題はないはずだった。

ポート番号を変更して解決

図3 社員の出向先企業のファイアウォールを通過できないためB社はVPN設定を変更
B社は新たに「NATトラバーサル」機能を活用することにし,VPNクライアントと本社のVPN装置に設定を施した。取引先のC社に出向している社員もVPNでB社に接続できるように準備したが,NATトラバーサルで使うポート番号のパケットがC社のファイアウォールを通過できない。そこで,ポート番号の設定を変更して対処した。
 B社とC社が共同で調査したところ,y氏のパケットがファイアウォールで遮断されていた。理由は,NATトラバーサルのカプセル化に使うUDPのポート番号。B社では「10000」を指定していたが,C社のファイアウォールは10000番ポートを遮断する設定になっていた(図3[拡大表示])。

 原因は特定できたが,C社にUDPの10000番ポートが通過できるように変えてもらうのは,セキュリティ上難しい。B社は検討を重ねて,NATトラバーサルで利用するポート番号をISAKMPと同じUDPの500番に変えることにした。

 NATトラバーサルはISAKMPと関連がなく,同じ500番ポートを使うのは好ましくない。ただし,運用上は問題がなく,C社と接続することを優先してこの方法を採用した。NATトラバーサルのポート番号変更後は,C社からも接続できるようになった。

出典:2003年4月28日号 120ページ
記事は執筆時の情報に基づいており、現在では異なる場合があります。