Cloud Enterprise Network:VPN 接続の作成

制限事項

• Enterprise Edition トランジットルーターのみが VPN 接続をサポートしています。

• 現在、特定のリージョンの IPsec 接続のみがトランジットルーターインスタンスに接続できます。サポートされているリージョンの詳細については、「サポートされているリージョンとゾーン」をご参照ください。

• VPN 接続を作成すると、システムは自動的に リージョナルゲートウェイからエクスポート 方向ですべてのトランジットルータールートテーブルにルーティングポリシーを追加します。このポリシーの ポリシーの優先度 は 5000、ポリシーアクション は 拒否 です。このルートポリシーにより、VPN 接続間、仮想ボーダールータ (VBR) 接続間、およびクラウド相互接続ネットワーク (CCN) 接続間の通信が拒否されます。

• ご利用のオンプレミスデータセンターがすでに IPsec-VPN 接続および VPC を介してトランジットルーターに接続されている場合、同じデータセンターとトランジットルーター間に直接 VPN 接続を追加しても、負荷分散はサポートされません。

• 次の表は、リソースクォータについて説明しています。

  リソース	デフォルトクォータ	クォータ増加のリクエスト
  トランジットルーターあたりの VPN 接続数	50	次のいずれかの方法でクォータ増加をリクエストできます。 クォータ ページでクォータ増加をリクエストします。詳細については、「CEN クォータの増加」をご参照ください。 クォータセンター でクォータ増加をリクエストします。詳細については、「クォータ増加申請の作成」をご参照ください。
  Equal-Cost Multipath (ECMP) ルーティングをサポートするトランジットルーターあたりの VPN 接続数	16	変更不可
  IPsec 接続に接続可能なトランジットルーター数	1	変更不可

課金

VPN 接続の使用により、次の課金項目に対して料金が発生する可能性があります：トランジットルーター接続料金、トランジットルーターデータ転送料金、IPsec 接続インスタンス料金、およびデータ転送料金。課金項目は IPsec 接続のネットワークタイプによって異なります。次の表は、VPN 接続の課金ルールについて説明しています。

インターネット経由の VPN 接続の課金ルール

プライベートネットワーク経由の VPN 接続の課金ルール

ワークフロー

VPN 接続の作成には、トランジットルーターと IPsec 接続の関連付けが含まれます。関連付け後、オンプレミスデータセンターは IPsec 接続を介してトランジットルーターに接続し、トランジットルーターに接続された他のネットワークと通信できるようになります。

Cloud Enterprise Network (CEN) コンソールまたは VPN Gateway コンソールで IPsec 接続を作成できます。クロスアカウント IPsec 接続も作成可能です。次の図は、IPsec 接続の所有アカウントおよび作成場所に基づいて異なる VPN 接続作成のワークフローを示しています。

前提条件

VPN 接続の作成

1. Cloud Enterprise Network (CEN) コンソール にログインします。

2. インスタンス ページで、管理対象の CEN インスタンスの ID をクリックします。

3. 基本情報 > トランジットルーター タブで、対象リージョンのトランジットルーターを見つけ、アクション 列の 接続の作成 をクリックします。

4. ピアネットワークインスタンスとの接続 ページで、VPN 接続の設定を構成し、OK をクリックします。

   必要なパラメーターは、IPsec 接続の作成に使用するワークフローによって異なります。このトピックでは、参考のためにすべてのパラメーターを一覧表示します。

   説明

   • この操作を初めて実行する場合、システムは自動的に AliyunServiceRoleForVpn という名前のサービスリンクロールを作成します。このサービスリンクロールにより、VPN Gateway は Elastic Network Interface (ENI) やセキュリティグループなどのリソースを管理して VPN 接続を作成できます。ご利用のアカウントにすでにサービスリンクロールが存在する場合は、システムは再度作成しません。AliyunServiceRoleForVpn の詳細については、「AliyunServiceRoleForVpn」をご参照ください。

   デュアルトンネルモード

   基本設定

   パラメーター	説明
   ネットワークタイプ	VPN Gateway を選択します。
   リージョン	トランジットルーターがデプロイされているリージョンを選択します。
   トランジットルーター	現在のリージョンで利用可能なトランジットルーターが表示されます。
   リソース所有者 ID	IPsec 接続が属するアカウントの種類を選択します。 トランジットルーターは、自身と同じ Alibaba Cloud アカウントまたは別のアカウントに属する IPsec 接続に接続できます。 IPsec 接続とトランジットルーターインスタンスが同じ Alibaba Cloud アカウントに属している場合は、現在のアカウント を選択します。 IPsec 接続とトランジットルーターインスタンスが異なる Alibaba Cloud アカウントに属している場合は、別のアカウント を選択し、IPsec 接続が属する Alibaba Cloud アカウント (プライマリアカウント) の ID を入力します。
   単一リソース	IPsec 接続タイプを選択します。有効な値： リソースの作成：トランジットルーターが新しい IPsec 接続に接続されます。 VPN 接続を作成後、システムは IPsec 接続を作成し、トランジットルーターに関連付けます。VPN Gateway コンソールに移動して 編集 をクリックすると、新しい IPsec 接続の詳細を確認できます。詳細については、「IPsec 接続 (トランジットルーターに関連付け)」をご参照ください。 リソースの選択：トランジットルーターが既存の IPsec 接続に接続されます。
   接続名	VPN 接続の名前を入力します。
   ゲートウェイタイプ	IPsec 接続のネットワークタイプを選択します。有効な値： パブリック (デフォルト)：IPsec 接続がインターネット上で暗号化トンネルを確立します。 プライベート：IPsec 接続がプライベートネットワーク上で暗号化トンネルを確立します。
   ルーティングモード	IPsec 接続のルーティングモードを選択します。有効な値： 送信先ルーティング (デフォルト)：宛先 IP アドレスに基づいてトラフィックを転送します。 フロー保護：正確な送信元および宛先 IP アドレスに基づいてトラフィックをルーティングおよび転送します。 フロー保護 を選択した場合、ローカル CIDR ブロック および ピア CIDR ブロック を構成する必要があります。VPN 接続を構成後、システムは自動的に IPsec 接続のルートテーブルに宛先ルートを追加します。デフォルトでは、このルートは IPsec 接続に関連付けられたトランジットルーターのルートテーブルに公開されます。
   直ちに適用	IPsec ネゴシエーションを直ちに開始するかどうかを指定します。有効な値： はい：構成完了後、システムは直ちに IPsec ネゴシエーションを開始します。 いいえ (デフォルト)：データトラフィックが検出された場合にのみ、システムは IPsec ネゴシエーションを開始します。
   BGP の有効化	オフ (デフォルト)：静的ルートを手動で構成します。 オン：IPsec 接続が BGP 動的ルーティングを使用してルートを自動的に学習および公開します。
   ローカル ASN	BGP の有効化 をオンに設定した場合に必須です。 IPsec 接続の Alibaba Cloud 側の自律システム番号 (ASN) を入力します。デフォルト値：45104。有効範囲：1 ～ 4294967295。 2 部構成形式で ASN を入力できます：16 ビットの数値、ピリオド (.)、および別の 16 ビットの数値。各部分は 10 進数値です。 たとえば、123.456 を入力すると、ASN は 123 × 65536 + 456 = 8061384 になります。 説明 Alibaba Cloud との BGP 接続にはプライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。

   トンネル設定

   デュアルトンネルモードでは、Tunnel 1 および Tunnel 2 の両方を構成し、両方をアクティブにする必要があります。一方のトンネルのみを構成または使用した場合、IPsec-VPN 接続はリンク冗長性やゾーンレベルのディザスタリカバリを提供できません。

   パラメーター	説明
   BGP の有効化	IPsec 接続が BGP ルーティングプロトコルを使用する必要がある場合は、BGP を有効にしてください。デフォルトでは、BGP は無効になっています。 BGP 動的ルーティングを使用する前に、ご利用のオンプレミスゲートウェイデバイスが BGP をサポートしていることを確認してください。BGP 動的ルーティング の動作メカニズムおよび制限事項をよく理解しておくことを推奨します。
   ローカル ASN	BGP を有効にした後、トンネルのローカル側 (Alibaba Cloud 側) の ASN を入力します。両方のトンネルは同じ ASN を使用します。デフォルト値：45104。有効範囲：1 ～ 4294967295。 説明 Alibaba Cloud との BGP 接続にはプライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。
   カスタマーゲートウェイ	トンネルに関連付けるカスタマーゲートウェイを選択します。
   事前共有鍵	トンネルの認証キーを入力します。このキーは、トンネルとそのピア間の身分認証に使用されます。 キーの長さは 1 ～ 100 文字で、数字、大文字、小文字、および次の特殊文字を含めることができます：~`!@#$%^&*()_-+={}[]\|;:',.<>/?。スペース文字を含めることはできません。 事前共有鍵を指定しない場合、システムはランダムな 16 文字の文字列を事前共有鍵として生成します。IPsec 接続を作成後、トンネルの 編集 をクリックして、システムが生成したキーを確認できます。 重要 トンネルの事前共有鍵はピア側のキーと一致する必要があります。一致しない場合、トンネルを確立できません。

   暗号化設定

   • IKE 構成 (フェーズ 1 暗号化)

     パラメーター	説明
     バージョン	ikev2 を使用します。IKEv2 は SA ネゴシエーションを簡素化し、複数の CIDR ブロックを持つシナリオをより適切にサポートします。
     ネゴシエーションモード	main (デフォルト)：メインモード。このモードは送信中に ID 情報を暗号化し、アグレッシブモードよりもネゴシエーション時に高いセキュリティを提供します。 aggressive：アグレッシブモード。このモードはネゴシエーションが高速で、成功率が高くなります。 ネゴシエーションが成功した後、両モードともデータ送信時のセキュリティレベルは同じです。
     暗号化アルゴリズム	フェーズ 1 ネゴシエーションで使用する暗号化アルゴリズムです。 サポートされているアルゴリズム：AES-128、AES-192、AES-256、DES、および 3DES (非推奨)。
     認証アルゴリズム	フェーズ 1 ネゴシエーションで使用する認証アルゴリズムです。 サポートされているアルゴリズム：SHA1 (デフォルト)、MD5、SHA2-256、SHA2-384、および SHA2-512。 一部のオンプレミスゲートウェイデバイスで VPN を構成する際、PRF アルゴリズムを指定する必要があります。PRF アルゴリズムは IKE 認証アルゴリズムと同じである必要があります。
     DH グループ (前方秘匿性 PFS)	フェーズ 1 ネゴシエーションの Diffie-Hellman キー交換アルゴリズムを選択します。 disabled：DH キー交換アルゴリズムを使用しません。 PFS をサポートしていないクライアントには、disabled を選択します。 disabled 以外のグループを選択した場合、完全転送秘密性 (PFS) 機能がデフォルトで有効になります。これにより、再ネゴシエーションのたびにキーを更新する必要があります。そのため、ご利用のオンプレミスゲートウェイデバイスでも PFS を有効にする必要があります。 group1、group2、group5、group14：DH グループ番号が大きいほどセキュリティは高くなりますが、リソース消費量も増えます。
     SA ライフサイクル (秒)	フェーズ 1 でネゴシエーションされた SA (Security Association) の有効期間です。デフォルト値：86400。有効範囲：0 ～ 86400。
     LocalId	トンネルのローカル側の識別子です。デフォルトでは、トンネルの IP アドレスがローカル識別子として使用されます。 この識別子はネゴシエーション時のみ使用され、他の機能はありません。識別子は IP アドレスまたは FQDN (完全修飾ドメイン名) にでき、スペースを含めることはできません。トンネルのローカル側の識別子にはプライベート IP アドレスを使用してください。 LocalId に FQDN を使用する場合 (例：example.aliyun.com)、ご利用のオンプレミスゲートウェイデバイスで構成するピア ID が LocalId の値と一致している必要があります。また、ネゴシエーションモードを aggressive に設定してください。
     RemoteId	トンネルのリモート側の識別子です。デフォルトでは、関連付けられたカスタマーゲートウェイの IP アドレスがリモート識別子として使用されます。 この識別子はネゴシエーション時のみ使用され、他の機能はありません。識別子は IP アドレスまたは FQDN にでき、スペースを含めることはできません。トンネルのリモート側の識別子にはプライベート IP アドレスを使用してください。 RemoteId に FQDN を使用する場合 (例：example.aliyun.com)、ご利用のオンプレミスゲートウェイデバイスで構成するローカル ID が RemoteId の値と一致している必要があります。また、ネゴシエーションモードを aggressive に設定してください。

   • IPsec 構成 (フェーズ 2 暗号化)

     フェーズ 2 ネゴシエーションのパラメーターを構成します。

     • 暗号化アルゴリズム、認証アルゴリズム、DH グループ (前方秘匿性 PFS)、および SA ライフサイクル (秒)：フェーズ 1 の IKE 構成 セクションの対応するオプションの説明を参照できます。

     • DPD：この機能は有効のままにしてください。ピアデバイスがアクティブかどうかを検出します。30 秒のタイムアウト後、SA が削除され、自動的に再ネゴシエーションが開始されます。

     • NAT トラバーサル：この機能は有効のままにしてください。有効にすると、トンネルネゴシエーション中にシステムが自動的に NAT デバイスを検出します。NAT デバイスが検出された場合、UDP 4500 カプセル化が使用されます。データ送信中は UDP ポート検証がスキップされ、NAT によってポート番号が変更されたパケットも正しく受信できるようになります。

   BGP 設定

   IPsec 接続で BGP を有効にした場合、Alibaba Cloud 側の BGP トンネル CIDR ブロックおよび BGP トンネル IP アドレスを指定できます。BGP を有効にしていない場合でも、IPsec 接続を作成後に有効化できます。詳細については、「IPsec-VPN 接続 (TR にアタッチ)」をご参照ください。

   高度な設定

   VPN 接続を作成する際、次の高度な機能はデフォルトで有効になります。

   • ルートの自動公開：TR の ルート同期 機能を有効にします。これにより、TR ルートテーブルのルートが自動的に IPsec-VPN 接続のルートテーブルに公開されます。

   • 転送ルーターに自動的に関連付けるデフォルトのルートテーブル：IPsec-VPN 接続から TR に入力されたトラフィックは、TR のデフォルトルートテーブルに基づいて転送されます。

   • システムルートを転送ルーターに自動的に伝播するデフォルトのルートテーブル：TR の ルート学習 機能を有効にします。TR は自動的に IPsec-VPN 接続のルートテーブルからルートを学習します。

   シングルトンネルモード

   IPsec-VPN 接続はデュアルトンネルモードにアップグレードされました。シングルトンネルモードの既存の IPsec-VPN 接続を管理および変更するには、次の手順に従ってください。

   基本設定

   パラメーター	説明
   ネットワークタイプ	VPN Gateway を選択します。
   リージョン	トランジットルーターがデプロイされているリージョンを選択します。
   トランジットルーター	現在のリージョンで作成されたトランジットルーターインスタンスが自動的に表示されます。
   リソース所有者 ID	IPsec 接続が属するアカウントの種類を選択します。 トランジットルーターは、自身と同じアカウントまたは別のアカウントに属する IPsec 接続に接続できます。 IPsec 接続とトランジットルーターインスタンスが同じ Alibaba Cloud アカウントに属している場合は、現在のアカウント を選択します。 IPsec 接続とトランジットルーターインスタンスが異なる Alibaba Cloud アカウントに属している場合は、別のアカウント を選択し、IPsec 接続が属する Alibaba Cloud アカウント (プライマリアカウント) の ID を入力します。
   単一リソース	IPsec 接続タイプを選択します。有効な値： リソースの作成：トランジットルーターが新しい IPsec 接続に接続されます。 VPN 接続を作成後、システムは IPsec 接続を作成し、トランジットルーターに関連付けます。VPN Gateway コンソールに移動して 編集 をクリックすると、新しい IPsec 接続の詳細を確認できます。詳細については、「IPsec 接続の変更」をご参照ください。 リソースの選択：トランジットルーターが既存の IPsec 接続に接続されます。
   接続名	VPN 接続の名前を入力します。
   タグ	VPN 接続にタグを追加します。 タグキー：空文字列にすることはできません。キーの長さは最大 64 文字で、aliyun または acs: で始まってはいけません。http:// または https:// を含んではいけません。 タグ値：空文字列にできます。値の長さは最大 128 文字で、aliyun または acs: で始まってはいけません。http:// または https:// を含んではいけません。 VPN 接続に複数のタグを追加できます。詳細については、「タグ」をご参照ください。
   ゲートウェイタイプ	IPsec 接続のネットワークタイプを選択します。有効な値： パブリック (デフォルト)：IPsec 接続がインターネット上で暗号化トンネルを確立します。 プライベート：IPsec 接続がプライベートネットワーク上で暗号化トンネルを確立します。
   ゾーン	ゾーンを選択します。 システムは選択したゾーンにリソースを作成します。
   カスタマーゲートウェイ	IPsec 接続用のカスタマーゲートウェイを選択します。
   ルーティングモード	IPsec 接続のルーティングモードを選択します。有効な値： 送信先ルーティング (デフォルト)：宛先 IP アドレスに基づいてトラフィックを転送します。 フロー保護：正確な送信元および宛先 IP アドレスに基づいてトラフィックをルーティングおよび転送します。 フロー保護 を選択した場合、フロー保護 および ピア CIDR ブロック を構成する必要があります。VPN 接続を構成後、システムは自動的に IPsec 接続のルートテーブルに宛先ルートを追加します。デフォルトでは、このルートは IPsec 接続に関連付けられたトランジットルーターのルートテーブルに公開されます。
   直ちに適用	IPsec ネゴシエーションを直ちに開始するかどうかを指定します。有効な値： はい：構成完了後、システムは直ちに IPsec ネゴシエーションを開始します。 いいえ (デフォルト)：データトラフィックが検出された場合にのみ、システムは IPsec ネゴシエーションを開始します。
   事前共有キー	IPsec 接続の認証キーを入力します。このキーは、Alibaba Cloud 側とオンプレミスデータセンター間の接続を認証します。 キーの長さは 1 ～ 100 文字です。事前共有鍵を指定しない場合、システムはランダムな 16 文字の文字列を事前共有鍵として生成します。 VPN 接続を作成後、VPN Gateway コンソールに移動して 編集 をクリックすると、システムが生成した事前共有鍵を確認できます。詳細については、「IPsec 接続の変更」をご参照ください。 重要 IPsec 接続の事前共有鍵は、オンプレミスデータセンター側で使用するキーと一致している必要があります。一致しない場合、IPsec 接続を確立できません。

   IKE および IPsec 設定

   パラメーター	説明
   IKE 設定
   エディション	IKE プロトコルのバージョンを選択します。有効な値: ikev1 ikev2 (デフォルト) ikev1 および ikev2 がサポートされています。ikev1 と比較して、ikev2 は SA ネゴシエーションを簡素化し、複数のネットワークセグメントを持つシナリオをより適切にサポートします。ikev2 の選択を推奨します。
   ネゴシエーションモード	ネゴシエーションモードを選択します。有効な値： main (デフォルト)：メインモード。ネゴシエーション時に高いセキュリティを提供します。 aggressive：アグレッシブモード。ネゴシエーションが高速で、成功率が高くなります。 ネゴシエーションが成功した後、両モードともデータ送信時のセキュリティレベルは同じです。
   暗号化アルゴリズム	フェーズ 1 ネゴシエーションの暗号化アルゴリズムを選択します。 サポートされているアルゴリズム：AES (aes128、デフォルト)、AES192、AES256、DES、および 3DES。
   認証アルゴリズム	フェーズ 1 ネゴシエーションの認証アルゴリズムを選択します。 サポートされているアルゴリズム：SHA1 (デフォルト)、MD5、SHA256、SHA384、および SHA512。
   DH グループ	フェーズ 1 ネゴシエーションの Diffie-Hellman (DH) キー交換アルゴリズムを選択します。有効な値： group1：DH グループ 1。 group2 (デフォルト)：DH グループ 2。 group5：DH グループ 5。 group14：DH グループ 14。
   SA ライフタイム (秒)	フェーズ 1 ネゴシエーションの Security Association (SA) 有効期間を秒単位で設定します。デフォルト：86400。有効範囲：0 ～ 86400。
   LocalId	フェーズ 1 ネゴシエーションで使用する IPsec 接続の Alibaba Cloud 側の識別子を入力します。デフォルト値は IPsec 接続のゲートウェイ IP アドレスです。 LocalId は FQDN 形式をサポートします。FQDN 形式を使用する場合は、ネゴシエーションモードを aggressive に設定することを推奨します。
   RemoteId	フェーズ 1 ネゴシエーションで使用するオンプレミスデータセンター側の識別子を入力します。デフォルト値はカスタマーゲートウェイの IP アドレスです。 RemoteId は FQDN 形式をサポートします。FQDN 形式を使用する場合は、ネゴシエーションモードを aggressive に設定することを推奨します。
   IPsec 設定
   暗号化アルゴリズム	フェーズ 2 ネゴシエーションの暗号化アルゴリズムを選択します。 サポートされているアルゴリズム：AES (aes128、デフォルト)、AES192、AES256、DES、および 3DES。
   認証アルゴリズム	フェーズ 2 ネゴシエーションの認証アルゴリズムを選択します。 サポートされているアルゴリズム：SHA1 (デフォルト)、MD5、SHA256、SHA384、および SHA512。
   DH グループ	フェーズ 2 ネゴシエーションの DH キー交換アルゴリズムを選択します。有効な値： disabled：DH キー交換アルゴリズムを使用しません。 完全転送秘密性 (PFS) をサポートしていないクライアントには、disabled を選択します。 disabled 以外のグループを選択した場合、PFS がデフォルトで有効になります。これにより、再ネゴシエーションのたびにキーを更新する必要があります。そのため、対応するクライアントでも PFS を有効にする必要があります。 group1：DH グループ 1。 group2 (デフォルト)：DH グループ 2。 group5：DH グループ 5。 group14：DH グループ 14。
   SA ライフタイム (秒)	フェーズ 2 ネゴシエーションの SA 有効期間を秒単位で設定します。デフォルト：86400。有効範囲：0 ～ 86400。
   DPD	ピア生存確認 (DPD) を有効にするかどうかを指定します。DPD はデフォルトで有効になっています。 有効にすると、IPsec-VPN 接続はピアのアクティビティを確認するために DPD パケットを送信します。ピアが 30 秒以内に応答しない場合、切断されたと見なされます。ISAKMP SA および対応する IPsec SA が削除され、セキュリティトンネルが削除されます。その後、IPsec-VPN 接続は自動的にトンネルネゴシエーションを再開します。
   NAT トラバーサル	ネットワークアドレス変換 (NAT) 越えを有効にするかどうかを指定します。 NAT 越えを有効にすると、IKE ネゴシエーションプロセスで UDP ポート検証がスキップされ、暗号化通信トンネル内の NAT ゲートウェイデバイスを検出するのに役立ちます。この機能はデフォルトで有効になっています。

   BGP 設定

   ボーダーゲートウェイプロトコル (BGP) を有効にすると、IPsec 接続が BGP 動的ルーティングを使用してルートを自動的に学習および公開できるようになり、ネットワークメンテナンスコストおよびネットワーク構成エラーのリスクを低減できます。

   BGP はデフォルトで無効になっています。BGP 設定を構成する前に、BGP を有効にする必要があります。

   パラメーター	説明
   トンネル CIDR ブロック	IPsec トンネルの CIDR ブロックを入力します。 トンネル CIDR ブロックは 169.254.0.0/16 内の /30 サブネットである必要があります。169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30、または 169.254.169.252/30 は使用できません。
   ローカル BGP IP	IPsec 接続の Alibaba Cloud 側の BGP IP アドレスを入力します。 このアドレスはトンネル CIDR ブロック内の IP アドレスである必要があります。
   ローカル ASN	IPsec 接続の Alibaba Cloud 側の自律システム番号 (ASN) を入力します。デフォルト値：45104。有効範囲：1 ～ 4294967295。 2 部構成形式で ASN を入力できます：16 ビットの数値、ピリオド (.)、および別の 16 ビットの数値。各部分は 10 進数値です。 たとえば、123.456 を入力すると、ASN は 123 × 65536 + 456 = 8061384 になります。 説明 Alibaba Cloud との BGP 接続にはプライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。

   ヘルスチェック

   有効にすると、ヘルスチェックは IPsec 接続を介してオンプレミスデータセンターと Alibaba Cloud 側間のネットワーク接続を自動的に検出し、ヘルスチェック結果に基づいてルートを自動的に切り替えてネットワークの可用性を向上させます。

   ヘルスチェックはデフォルトで無効になっています。ヘルスチェック構成を追加する前に、ヘルスチェックを有効にする必要があります。

   重要

   ヘルスチェックを構成した後、オンプレミスデータセンター側に、宛先 CIDR ブロックを 送信元 IP (/32 マスク付き) に設定し、ネクストホップを IPsec 接続に向けるルートを追加してください。これにより、ヘルスチェックが期待どおりに機能します。

   パラメーター	説明
   送信先 IP	Alibaba Cloud 側が IPsec 接続を介してアクセスできるオンプレミスデータセンターの IP アドレスを入力します。
   ソース IP	オンプレミスデータセンターが IPsec 接続を介してアクセスできる Alibaba Cloud 側の IP アドレスを入力します。
   再試行間隔	ヘルスチェックのリトライ間隔を選択します。単位：秒。デフォルト値：3。
   再試行回数	ヘルスチェックのリトライ回数を選択します。デフォルト値：3。
   ルートの切り替え	ヘルスチェックが失敗した場合に、システムが公開済みのルートを取り消すかどうかを選択します。デフォルト値は はい で、ヘルスチェックが失敗した場合にシステムが公開済みのルートを取り消します。 はい の選択を解除した場合、ヘルスチェックが失敗してもシステムは公開済みのルートを取り消しません。

   高度な設定

   VPN 接続を作成する際、次の高度な機能はデフォルトで有効になります。

   パラメーター	説明
   VBR へルートを自動的にアドバタイズする	この機能を有効にすると、VPN 接続が トランジットルーター のルートテーブルのルートを IPsec 接続の BGP ルートテーブルに自動的に伝搬します。 説明 この機能は、IPsec 接続とオンプレミスデータセンター間で BGP 動的ルーティングが有効になっている場合にのみ有効になります。 後で 自動ルートアドバタイズ 機能を使用して、この機能を無効にできます。詳細については、「ルート同期の無効化」をご参照ください。
   トランジットルーターのデフォルトルートテーブルに関連付ける	この機能を有効にすると、VPN 接続が トランジットルーター のデフォルトルートテーブルに関連付けられます。その後、トランジットルーターはデフォルトルートテーブルを参照して IPsec 接続からのトラフィックを転送します。
   システムルートをトランジットルーターのデフォルトルートテーブルに伝播する	この機能を有効にすると、VPN 接続が IPsec 接続の宛先ベースルートテーブルおよび BGP ルートテーブルのルートを トランジットルーター のデフォルトルートテーブルに伝搬します。

   これらの高度な機能を無効にして、トランジットルーターのルートテーブル関連付けやルート学習などのルーティング機能を使用して、VPN 接続の接続性をカスタマイズできます。詳細については、「ルート管理」をご参照ください。

VPN 接続の関連付けられたルートテーブルの変更

VPN 接続を作成した後、それに関連付けられたトランジットルータールートテーブルを変更できます。

1. CEN コンソール にログインします。

2. インスタンス ページで、管理対象の CEN インスタンスの ID をクリックします。

3. 基本情報 > トランジットルーター タブで、対象リージョンのトランジットルーターインスタンスの ID をクリックします。

4. リージョン内接続数 タブで、VPN 接続を見つけ、その ID をクリックします。

5. 接続の詳細 パネルで、基本情報 セクションの 関連ルートテーブル の横にある 変更 をクリックします。

6. Modify Route Table ダイアログボックスで、宛先のトランジットルータールートテーブルを選択し、OK をクリックします。

API による VPN 接続の作成

Alibaba Cloud SDK (推奨)、Alibaba Cloud CLI、Terraform、および Resource Orchestration Service (ROS) などのツールを使用して、VPN 接続の作成および変更を行う API オペレーションを呼び出すことができます。詳細については、次の API オペレーションをご参照ください。

• CreateTransitRouterVpnAttachment：VPN 接続を作成します。

• UpdateTransitRouterVpnAttachmentAttribute：VPN 接続を変更します。

• ReplaceTransitRouterRouteTableAssociation：ネットワークインスタンス接続に関連付けられたトランジットルータールートテーブルを置き換えます。