ONTAP 9.12.1以降では、MetroCluster IP構成とファブリック接続MetroCluster構成でフロントエンドのホストプロトコルとしてIPsecがサポートされます。
MetroClusterクラスタでのIPsecのサポートはフロントエンドのホストトラフィックに限定され、MetroClusterのクラスタ間LIFではサポートされません。

ONTAP 9.10.1以降では、IPsecでの認証に事前共有キー（PSK）または証明書のいずれかを使用できます。これまではPSKしかサポートされていませんでした。

ONTAP 9.9.1以降のIPsecでFIPS 140-2で認定された暗号化アルゴリズムが使用されます。これらのアルゴリズムは、FIPS 140-2認定を受けたONTAPのCryptographic Moduleで生成されています。

ONTAP 9.8以降では、ONTAPでトランスポートモードのIPsecがサポートされます。

IPsecを設定すると、リプレイアタックや中間者（MITM）攻撃が防止され、クライアントとONTAPの間のネットワークトラフィックが保護されます。

SnapMirrorおよびクラスタピアリングのトラフィックの暗号化には、引き続きIPsecよりもクラスタピアリング暗号化（CPE）のTransport Layer Security（TLS）を推奨します。TLSはIPsecよりもパフォーマンス面で優れています。

クラスタでIPsec機能が有効になっている場合、ネットワークでトラフィックを転送するには、保護対象のトラフィックを照合し、保護の詳細（暗号スイートや認証方式など）を指定する、セキュリティポリシーデータベース（SPD）のエントリが必要になります。各クライアントにも対応するSPDエントリが必要です。

クラスタでのIPsecの有効化

IPsecをクラスタで有効にすることで、転送中もデータの安全性と暗号化を維持できます。

手順

IPsecがすでに有効になっているかを確認します。

security ipsec config show

IPsec Enabled: falseと表示される場合は、次の手順に進みます。
IPsecを有効にします。

security ipsec config modify -is-enabled true
検出コマンドをもう一度実行します。

security ipsec config show

IPsec Enabled: trueと表示されます。

証明書認証用のIPsecポリシーの作成準備

この手順は、認証に事前共有キー（PSK）のみを使用しており、証明書認証を使用しない場合は省略できます。

認証に証明書を使用するIPsecポリシーを作成する前に、次の前提条件を満たしていることを確認する必要があります。

ONTAPとクライアントの両方がエンドエンティティ（ONTAPまたはクライアント）の証明書を検証できるように、両方に相手側のCA証明書がインストールされている。
ポリシーの対象になるONTAP LIFの証明書がインストールされている。

証明書はONTAP LIF間で共有できます。証明書とLIFが1対1で対応している必要はありません。

手順

すでにインストールされている場合（ONTAPの自己署名ルートCAの場合）を除き、相互認証で使用するすべてのCA証明書（ONTAP側とクライアント側の両方のCAを含む）をONTAP証明書管理にインストールします。

コマンド例
cluster::> security certificate install -vserver svm_name -type server-ca -cert-name my_ca_cert
インストールしたCAが認証時にIPsecのCA検索パスに含まれるように、security ipsec ca-certificate addコマンドを使用して、ONTAP証明書管理のCAをIPsecモジュールに追加します。

コマンド例
cluster::> security ipsec ca-certificate add -vserver svm_name -ca-certs my_ca_cert
ONTAP LIFで使用する証明書を作成してインストールします。この証明書の発行元CAがすでにONTAPにインストールされ、IPsecに追加されている必要があります。

コマンド例
cluster::> security certificate install -vserver svm_name -type server -cert-name my_nfs_server_cert

ONTAPの証明書の詳細については、ONTAP 9のドキュメントのsecurity certificateコマンドを参照してください。

セキュリティポリシーデータベース（SPD）の定義

IPsecでトラフィックをネットワーク上で転送するためにはSPDエントリが必要です。これは、認証にPSKと証明書のどちらを使用する場合にも当てはまります。

手順

security ipsec policy createコマンドを使用して以下の処理を実行します。

IPsec転送に参加するONTAPのIPアドレスまたはIPアドレスのサブネットを選択します。
ONTAPのIPアドレスに接続するクライアントのIPアドレスを選択します。

クライアントでInternet Key Exchangeバージョン2（IKEv2）と事前共有キー（PSK）がサポートされている必要があります。
オプション：トラフィックを保護するために、上位レイヤーのプロトコル（UDP、TCP、ICMPなど）、ローカルポート番号、リモートポート番号などの詳細なトラフィックパラメーターを選択します。対応するパラメーターは、protocols、local-ports、remote-portsです。

この手順は、ONTAPとクライアントのIPアドレス間の全トラフィックを保護する場合は省略します。デフォルトでは、すべてのトラフィックが保護されます。

使用する認証方式のauth-methodパラメーターにPSKまたは公開鍵インフラストラクチャー (PKI) を入力します。

PSKを入力する場合は、パラメーターを入力し、<enter>キーを押して事前共有キーの入力と確認を求めるプロンプトを表示します。

ホストとクライアントの両方がstrongSwanを使用し、ホストまたはクライアントに対してワイルドカードポリシーが選択されていない場合、local-identityおよびremote-identityパラメーターはオプションです。

PKIを指定した場合は、cert-name、local-identity、remote-identityの各パラメーターも入力する必要があります。リモート側の証明書のIDが不明な場合や複数のクライアントIDが想定される場合は、特別なIDであるANYTHINGを指定します。

PSK認証のコマンド例

security ipsec policy create -vserver vs1 -name test34 -local-ip-subnets 192.168.134.34/32 -remote-ip-subnets 192.168.134.44/32
Enter the preshared key for IPsec Policy _test34_ on Vserver _vs1_:

PKI / 証明書認証のコマンド例

security ipsec policy create -vserver vs1 -name test34 -local-ip-subnets 192.168.134.34/32 -remote-ip-subnets 192.168.134.44/32 -local-ports 2049 -protocols tcp -auth-method PKI -cert-name my_nfs_server_cert -local-identity CN=fujitsu.ipsec.lif1.vs0 -remote-identity ANYTHING

ONTAPとクライアントの両方で一致するIPsecポリシーが設定され、両方に認証クレデンシャル（PSKまたは証明書）がインストールされるまで、クライアントとサーバーの間でIPトラフィックを転送することはできません。詳細については、クライアント側のIPsec設定を参照してください。

IPsec IDの使用

事前共有キー認証方式では、ホストとクライアントの両方がstrongSwanを使用し、ホストまたはクライアントに対してワイルドカードポリシーが選択されていない場合、ローカルIDとリモートIDはオプションです。

PKI / 証明書を使用する認証方式では、ローカルとリモートの両方のIDが必須です。IDはONTAPとクライアントそれぞれの証明書でどのIDが認定されているかを示すもので、検証プロセスで使用されます。リモートのIDが不明な場合や複数の異なるIDが存在する可能性がある場合は、特別なIDであるANYTHINGを使用します。

タスク概要

ONTAPでは、SPDエントリを変更するかSPDポリシーの作成時にIDを指定します。SPDには、IPアドレスまたは文字列形式のID名を使用できます。

手順

既存のSPDのID設定を変更するには、次のコマンドを使用します。

security ipsec policy modify

コマンド例

security ipsec policy modify -vserver vs1 -name test34 -local-identity 192.168.134.34 -remote-identity client.fooboo.com

IPsecの複数クライアント設定

IPsecを利用するクライアントの数が少ない場合は、クライアントごとにSPDエントリを1つ使用すれば問題ありません。ただし、数百、数千のクライアントがIPsecを利用する必要がある場合は、IPsecの複数クライアント設定を使用することを推奨します。

タスク概要

ONTAPでは、IPsecを有効にした状態で、単一のSVM IPアドレスに複数のクライアントを多数のネットワーク経由で接続できます。そのためには、次のいずれかの方法を使用します。

サブネット設定

特定のサブネット（例：192.168.134.0/24）のすべてのクライアントが1つのSPDポリシーエントリを使用して単一のSVM IPアドレスに接続できるようにするには、remote-ip-subnetsをサブネット形式で指定する必要があります。さらに、remote-identityフィールドにクライアント側の正しいIDを指定する必要があります。

サブネット設定で単一のポリシーエントリを使用する場合、そのサブネット内のIPsecクライアントはIPsec IDと事前共有キー（PSK）を共有します。ただし、これは証明書認証には当てはまりません。証明書を使用する場合は、各クライアントはそれぞれ固有の証明書か共有の証明書のいずれかを認証に使用できます。ONTAPのIPsecは、証明書の有効性をローカルの信頼ストアにインストールされているCAに基づいてチェックします。証明書失効リスト（CRL）のチェックもサポートされています。

全クライアントを許可

ソースIPアドレスに関係なくすべてのクライアントがSVMのIPsec対応IPアドレスに接続できるようにするには、remote-ip-subnetsフィールドにワイルドカード0.0.0.0/0を指定します。

さらに、remote-identityフィールドにクライアント側の正しいIDを指定する必要があります。証明書認証の場合は、ANYTHINGを指定できます。

また、ワイルドカード0.0.0.0/0を使用する場合は、使用するローカルまたはリモートの特定のポート番号を設定する必要があります。たとえば、[NFS port 2049]などです。
手順
1. 次のいずれかのコマンドを使用して、複数クライアント向けのIPsecを設定します。
  1. サブネット設定を使用して複数のIPsecクライアントをサポートする場合：
    
    security ipsec policy create -vserver vserver_name -name policy_name -local-ip-subnets IPsec_IP_address/32 -remote-ip-subnets IP_address/subnet -local-identity local_id -remote-identity remote_id
    
    コマンド例
    
    security ipsec policy create -vserver vs1 -name subnet134 -local-ip-subnets 192.168.134.34/32 -remote-ip-subnets 192.168.134.0/24 -local-identity ontap_side_identity -remote-identity client_side_identity
  2. 全クライアントを許可して複数のIPsecクライアントをサポートする場合：
    
    security ipsec policy create -vserver vserver_name -name policy_name -local-ip-subnets IPsec_IP_address/32 -remote-ip-subnets 0.0.0.0/0 -local-ports port_number -local-identity local_id -remote-identity remote_id
    
    コマンド例
    
    security ipsec policy create -vserver vs1 -name test35 -local-ip-subnets IPsec_IP_address/32 -remote-ip-subnets 0.0.0.0/0 -local-ports 2049 -local-identity ontap_side_identity -remote-identity client_side_identity

IPsecの統計

ネゴシエーションを通じて、ONTAP SVMのIPアドレスとクライアントのIPアドレスの間に、IKEセキュリティアソシエーション（SA）と呼ばれるセキュリティチャネルが確立されます。実際のデータの暗号化と復号化を実行するために、両方のエンドポイントにIPsec SAがインストールされます。

統計コマンドを使用して、IPsec SAとIKE SAの両方のステータスを確認できます。

コマンド例

IKE SAのコマンドの例：

security ipsec show-ikesa -node hosting_node_name_for_svm_ip

IPsec SAのコマンドと出力例：

security ipsec show-ipsecsa -node hosting_node_name_for_svm_ip

cluster1::> security ipsec show-ikesa -node cluster1-node1
            Policy Local           Remote
Vserver     Name   Address         Address         Initator-SPI     State
----------- ------ --------------- --------------- ---------------- -----------
vs1         test34
                   192.168.134.34  192.168.134.44  c764f9ee020cec69 ESTABLISHED