質問

IPsec SA設定の「切断時動作」、「再接続」、「接続動作」はそれぞれどのように動作しますか。
また、IPsecトンネルをできるだけ維持したい場合は、どのような設定が推奨されますか。

回答

IPsec SA設定では、「切断時動作」「再接続」「接続動作」はそれぞれ独立した設定です。

• 切断時動作：対向機器から切断通知を受信した場合の動作を決定します。
• 再接続：SAの有効期限が切れた際に、自身から再接続（SA更新）を行うかどうかを決定します。
• 接続動作：通常時および「切断時動作」が指定なしの場合の接続方式を決定します。

各設定項目の動作

再接続

切断時動作

接続動作

「切断時動作：指定なし」の場合

「切断時動作」を指定なしに設定した場合は、接続動作の設定に応じて以下のように動作します。

⚠ 注意： ホールド状態では、対向機器から切断通知を受信しても自動的に再接続は行いません。トンネルを維持するために継続的に再接続を繰り返す状態ではありません。

設定の組み合わせによる動作

IPsecトンネルを維持したい場合の推奨設定

ℹ️ 推奨構成

• 切断時動作：イニシエート
• 再接続：有効
• 接続動作：少なくとも片側をオンデマンド
• 追加設定：スケジュールのキープアライブ機能を設定

「切断時動作：イニシエート」「再接続：有効」「接続動作：イニシエータ」のみで運用すると、接続失敗が継続した場合に接続処理がタイムアウトし、自動的に接続を再開できなくなる場合があります。

少なくとも片側を接続動作：オンデマンドとし、スケジュールのキープアライブ機能を併用することで、トンネルを維持しやすい構成となります。

キープアライブ設定

スケジュールのキープアライブ機能では、IPsecトンネル内へ定期的に監視パケットを送信し、トンネルの維持および状態監視を行います。

監視間隔およびタイムアウト値は、利用環境に応じて調整してください。