Azure VPN Gateway（Basic SKU）の既定IKE/IPsecパラメーターと制限について

〇追加情報

Yamaha RTX の設定を以下とした場合は、

AzureのConnectionStatsを確認したところ、Invalid KE Payloadが確認できたためIKE SA Initフェーズで接続試行はAzureに到達しているようです。

■ Phase1（IKE / Main Mode）

IKEバージョン：IKEv2

DH Group：modp2048（Group14）

暗号：AES256-CBC

認証ハッシュ：SHA256

PRF：SHA256

■ Phase2（Quick Mode）

暗号/認証：AES256-CBC / SHA256

PFS有無：なし

■ DPD

DPDの有無：あり（Keepalive有効）

更新されたテスト結果を共有いただき、ありがとうございます。大変参考になります。

ConnectionStatsに「Invalid KE Payload（無効なKEペイロード）」と表示されていることから、以下の点が確認できます。

IKEリクエストはAzureに到達していること

障害はIKEフェーズ1（DHネゴシエーション段階）で発生していること

現在の設定状況は以下の通りです。

Yamaha側：DHグループ14 (modp2048) に設定

Azure VPN Gateway (Basic SKU)：DHグループ2 (modp1024) を使用する固定のデフォルトポリシー

この不一致により、「Invalid KE Payload」が発生しています（Azureが提案されたDHグループを拒否していることを示します）。

必要な変更（主な修正点）

Yamahaのフェーズ1設定を以下のように変更してください。

変更内容：

DHグループ14 → DHグループ2

Azure側でDHグループをカスタマイズできないため、Basic SKUではこの設定を合わせることが必須となります。

追加の推奨事項（完全な互換性を確保するため）

Basic SKUは固定のデフォルト提案を使用するため、以下の設定を推奨します。

フェーズ1 (IKE)

IKEv2を維持

以下を許可：

AES256 / SHA256

AES256 / SHA1（互換性確保のための推奨フォールバック）

フェーズ2 (IPsec)

現在の設定で概ね適合しています

Azureのデフォルト提案セットに合わせるため、SHA256に加えてSHA1も許可するとよいでしょう

DPD

有効・無効のどちらでも構いません（今回の問題の直接的な原因ではありません）

まとめ

確認されたエラーは、DHグループの不一致を直接示しています

Azure Basic SKUはDHグループ2を必要としますが、現在の設定ではグループ14が使用されています

グループ2に変更することで、トンネル確立処理がフェーズ1を通過して進行するはずです

Hello @kanri09

先ほどお伝えした情報がお役に立ちましたでしょうか。もし何かご不明な点や追加のご質問などがございましたら、お知らせください。