すべてのプロダクト
Search

このプロダクト

    Cloud Enterprise Network:VPN 接続の作成

    ドキュメントセンター

    Cloud Enterprise Network:VPN 接続の作成

    最終更新日:Sep 01, 2026

    オンプレミスデータセンターをトランジットルーターに直接接続することで、同一または異なるリージョン内の VPC や他のデータセンターなど、他のアタッチされたネットワークと通信できます。

    重要

    2024 年 11 月 26 日以降、新規作成された IPsec-VPN 接続では、デフォルトでデュアルトンネルモードが使用されます。一方のトンネルで障害が発生した場合、トラフィックはもう一方のトンネルに自動的にルーティングされ、高可用性が確保されます。デュアルトンネルモードの詳細については、VPN ゲートウェイのドキュメント「(非推奨) トランジットルーターとの関連付け」をご参照ください。

    制限事項

    • Enterprise Edition のトランジットルーターのみが、VPN 接続をサポートします。

    • 現在、トランジットルーターインスタンスには、特定のリージョンにある IPsec 接続のみを接続できます。サポートされているリージョンの詳細については、「サポートされているリージョンとゾーン」をご参照ください。

    • VPN 接続を作成すると、システムはトランジットルーターのすべてのルートテーブルに、[リージョナルゲートウェイからエクスポート] 方向のルーティングポリシーを自動的に追加します。このポリシーの [ポリシーの優先度] は [5000]、[ポリシーアクション] は [拒否] となります。このルートポリシーは、VPN 接続、仮想ボーダールーター (VBR) 接続、および Cloud Connect Network (CCN) 接続間の通信を拒否します。

    • オンプレミスデータセンターが IPsec 接続と VPC を介してすでにトランジットルーターに接続されている場合、同じデータセンターとトランジットルーターの間に直接 VPN 接続を追加しても、負荷分散はサポートされません。

    • リソースクォータは次の表のとおりです。

      リソース

      デフォルトクォータ

      クォータの引き上げ申請

      トランジットルーターあたりの VPN 接続数

      50

      次のいずれかの方法でクォータの引き上げを申請できます。

      トランジットルーターあたりの等コストマルチパス (ECMP) ルーティングをサポートする VPN 接続数

      32

      変更不可

      IPsec 接続に接続できるトランジットルーターの数

      1

      変更不可

    課金

    VPN 接続では、トランジットルーター接続料金とデータフォワーディング料金、IPsec 接続インスタンス料金、およびデータ転送料金が発生する場合があります。課金項目は、IPsec 接続のネットワークタイプによって異なります。

    インターネット経由の VPN 接続の課金ルール

    VPN连接计费示例图-公网

    番号

    課金項目

    説明

    関連ドキュメント

    ①

    トランジットルーター接続料金

    IPsec 接続にトランジットルーターを接続する際に発生する料金です。

    • トランジットルーター接続料金とデータフォワーディング料金の課金ルールと価格については、「トランジットルーターの課金」をご参照ください。

    • IPsec 接続インスタンス料金とデータ転送料金の課金ルールと価格については、「VPN Gateway の課金」をご参照ください。

    ②

    トランジットルーターデータフォワーディング料金

    IPsec 接続がトランジットルーターに送信するトラフィックにかかる料金です。

    ③

    IPsec 接続インスタンス料金

    IPsec 接続インスタンスにかかる料金です。

    ④

    アウトバウンドデータ転送料金

    IPsec 接続がオンプレミスデータセンターにトラフィックを送信する際に発生する料金です。

    プライベートネットワーク経由の VPN 接続の課金ルール

    VPN连接计费示例图-私网

    番号

    課金項目

    説明

    関連ドキュメント

    ①

    トランジットルーター接続料金

    VBR インスタンスおよび IPsec 接続にトランジットルーターを接続する際に発生する料金です。

    • トランジットルーター接続料金とデータフォワーディング料金の課金ルールと価格については、「トランジットルーターの課金」をご参照ください。

    • IPsec 接続インスタンス料金の課金ルールと価格については、「VPN Gateway の課金」をご参照ください。

    • アウトバウンドデータ転送料金の課金ルールについては、「Express Connect の課金」をご参照ください。

    ②

    トランジットルーターデータフォワーディング料金

    VBR インスタンスがトランジットルーターにトラフィックを送信する際に発生する料金です。

    ③

    IPsec 接続インスタンス料金

    IPsec 接続を作成した後に発生するインスタンス料金です。

    ④

    アウトバウンドデータ転送料金

    VBR インスタンスがオンプレミスデータセンターにトラフィックを送信する際に発生する料金です。

    ワークフロー

    VPN 接続によって、トランジットルーターと IPsec 接続が関連付けられます。関連付けが完了すると、オンプレミスデータセンターは IPsec 接続を介してトランジットルーターに到達し、他のアタッチされたネットワークと通信できるようになります。

    IPsec 接続は、クロスアカウント接続を含め、CEN コンソールまたは VPN Gateway コンソールで作成できます。次の図は、IPsec 接続を所有するアカウントと作成場所によって異なるワークフローを示しています。

    説明

    • IPsec 接続を作成する際は、カスタマーゲートウェイを指定する必要があります。そのため、IPsec 接続を作成する前にカスタマーゲートウェイを作成する必要があります。

    • VPN Gateway コンソールで IPsec 接続を作成する際は、リソースの関連付け を 関連付け禁止 に設定する必要があります。

    创建VPN连接-操作流程

    前提条件

    VPN 接続を作成する前に、適切なワークフローを選択し、必要な準備をすべて完了してください：

    デュアルトンネルモード

    シングルトンネルモード

    VPN 接続の作成

    1. Cloud Enterprise Network (CEN) コンソールにログインします。

    2. [インスタンス] ページで、管理するCENインスタンスを見つけ、インスタンスIDをクリックします。

    3. [基本情報] > トランジットルーター タブで、目的のリージョンにあるトランジットルーターを見つけ、アクション 列で 接続の作成 > リージョン内接続の作成 をクリックします。

    4. リージョン内接続の作成 ページで、VPN 接続を設定し、OK をクリックします。

      必須パラメーターは、IPsec 接続を作成するワークフローによって異なります。参考までに、すべてのパラメーターを以下に示します。

      説明

      • この操作を初めて実行すると、システムは自動的に AliyunServiceRoleForVpn という名前のサービスリンクロールを作成します。このサービスリンクロールにより、VPN Gateway は VPN 接続を作成するために、Elastic Network Interface (ENI) やセキュリティグループなどのリソースを管理できます。サービスリンクロールがアカウントにすでに存在する場合、システムは再度作成しません。AliyunServiceRoleForVpn の詳細については、AliyunServiceRoleForVpn をご参照ください。

      デュアルトンネルモード

      基本設定

      パラメーター

      説明

      [ネットワークタイプ]

      VPN Gateway を選択します。

      [リージョン]

      Transit Router がデプロイされているリージョンを選択します。

      [トランジットルーター]

      現在のリージョンで利用可能な Transit Router が表示されます。

      [リソース所有者 ID]

      IPsec 接続が属するアカウントのタイプを選択します。

      Transit Router は、自身と同じアカウントまたは異なるアカウントに属する IPsec 接続に接続できます。

      • IPsec 接続と Transit Router インスタンスが同じ Alibaba Cloud アカウントに属している場合は、現在のアカウント を選択します。

      • IPsec 接続と Transit Router インスタンスが異なる Alibaba Cloud アカウントに属している場合は、別のアカウント を選択し、IPsec 接続が属する Alibaba Cloud アカウント (プライマリアカウント) の ID を入力します。

      [単一リソース]

      IPsec 接続のタイプを選択します。有効な値：

      • リソースの作成：Transit Router は新しい IPsec 接続に接続されます。

        VPN 接続が作成されると、システムは IPsec 接続を作成し、Transit Router に関連付けます。VPN Gateway コンソールに移動し、編集 をクリックして新しい IPsec 接続の詳細を表示できます。詳細については、「IPsec 接続 (Transit Router に関連付け)」をご参照ください。

      • リソースの選択：Transit Router は既存の IPsec 接続に接続されます。

      [接続名]

      VPN 接続の名前を入力します。

      [ゲートウェイタイプ]

      IPsec 接続のネットワークタイプを選択します。有効な値：

      • パブリック (デフォルト)：IPsec 接続はインターネット経由で暗号化されたトンネルを確立します。

      • プライベート：IPsec 接続はプライベートネットワーク経由で暗号化されたトンネルを確立します。

      [ルーティングモード]

      IPsec 接続のルーティングモードを選択します。有効な値：

      • 送信先ルーティング (デフォルト)：宛先 IP アドレスに基づいてトラフィックを転送します。

      • フロー保護：正確な送信元および宛先 IP アドレスに基づいてトラフィックをルーティングおよび転送します。

        フロー保護 を選択した場合は、ローカル CIDR ブロック と ピア CIDR ブロック を設定する必要があります。VPN 接続が設定されると、システムは自動的に宛先ルートを IPsec 接続のルートテーブルに追加します。デフォルトでは、そのルートは IPsec 接続に関連付けられている Transit Router のルートテーブルにアドバタイズされます。

      [直ちに適用]

      IPsec ネゴシエーションをすぐに開始するかどうかを指定します。有効な値：

      • はい：設定が完了すると、システムはすぐに IPsec ネゴシエーションを開始します。

      • いいえ (デフォルト)：システムは、データトラフィックが検出された場合にのみ IPsec ネゴシエーションを開始します。

      [BGP の有効化]

      • [オフ] (デフォルト)：静的ルートを手動で設定します。

      • [オン]：IPsec 接続は BGP 動的ルーティングを使用してルートを自動的に学習し、アドバタイズします。

      [ローカル ASN]

      このパラメーターは、BGP の有効化 を [オン] に設定した場合に必要です。

      IPsec 接続の Alibaba Cloud 側の自律システム番号 (ASN) を入力します。デフォルト値：[45104]。有効な範囲は [1～4294967295] です。

      ASN は、16 ビットの数値、ピリオド (.)、さらに 16 ビットの数値という 2 部構成の形式で入力できます。各部分は 10 進値です。

      たとえば、123.456 と入力した場合、ASN は 123 × 65536 + 456 = 8061384 となります。

      説明

      Alibaba Cloud との BGP 接続を確立するには、プライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。

      トンネル設定

      デュアルトンネルモードでは、Tunnel 1 と Tunnel 2 の両方を設定し、両方がアクティブであることを確認する必要があります。1つのトンネルのみを設定または使用した場合、IPsec-VPN 接続ではリンク冗長性やゾーンレベルの災害復旧は提供されません。

      パラメーター

      説明

      [BGP の有効化]

      IPsec 接続で BGP ルーティングプロトコルを使用する必要がある場合は、BGP を有効にします。デフォルトでは、BGP は無効になっています。

      BGP 動的ルーティングを使用する前に、オンプレミスのゲートウェイデバイスが BGP をサポートしていることを確認してください。BGP 動的ルーティングの動作メカニズムと制限事項をよく理解しておくことを推奨します。

      [ローカル ASN]

      BGP を有効にした後、トンネルのローカル側 (Alibaba Cloud 側) の ASN を入力します。両方のトンネルで同じ ASN を使用します。デフォルト値：45104。有効な範囲は 1～4294967295 です。

      説明

      Alibaba Cloud との BGP 接続を確立するには、プライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。

      [カスタマーゲートウェイ]

      トンネルに関連付けるカスタマーゲートウェイを選択します。

      [事前共有鍵]

      トンネルの認証キーを入力します。このキーは、トンネルとそのピア間の ID 認証に使用されます。

      • 鍵の長さは 1 ～ 100 文字で、数字、大文字、小文字、および次の特殊文字を含めることができます: ~`!@#$%^&*()_-+={}[]\|;:',.<>/?。鍵にスペースを含めることはできません。

      • 事前共有キーを指定しない場合、システムはランダムな 16 文字の文字列を事前共有キーとして生成します。IPsec 接続が作成された後、トンネルの 編集 をクリックして、システムが生成したキーを表示できます。

      重要

      トンネルの事前共有キーは、ピアのキーと一致している必要があります。一致しない場合、トンネルは確立されません。

      [暗号化設定]

      • [IKE 構成] (フェーズ 1 暗号化)

        パラメーター

        説明

        [バージョン]

        [ikev2] を使用します。IKEv2 は SA ネゴシエーションを簡素化し、複数の CIDR ブロックを持つシナリオに対してより柔軟に対応できます。

        [ネゴシエーションモード]

        [main] (デフォルト)：メインモード。このモードは送信中に ID 情報を暗号化するため、アグレッシブモードよりもネゴシエーション中のセキュリティが高くなります。

        [aggressive]：アグレッシブモード。このモードでは、ネゴシエーションがより高速になり、成功率も高まります。

        ネゴシエーションが成功すると、両方のモードでデータ送信のセキュリティレベルは同じになります。

        [暗号化アルゴリズム]

        フェーズ 1 ネゴシエーションで使用される暗号化アルゴリズム。

        サポートされているアルゴリズム：AES-128、AES-192、AES-256、DES、および 3DES (非推奨)。

        [認証アルゴリズム]

        フェーズ 1 ネゴシエーションで使用される認証アルゴリズム。

        サポートされているアルゴリズム：SHA1 (デフォルト)、MD5、SHA2-256、SHA2-384、および SHA2-512。

        一部のオンプレミスゲートウェイデバイスで VPN を設定する場合、PRF アルゴリズムの指定が必要になることがあります。PRF アルゴリズムは、IKE 認証アルゴリズムと同じである必要があります。

        [DH グループ (前方秘匿性 PFS)]

        フェーズ 1 ネゴシエーションの Diffie-Hellman 鍵交換アルゴリズムを選択します。

        • disabled：DH 鍵交換アルゴリズムを使用しません。

          • PFS をサポートしないクライアントの場合は、disabled を選択します。

          • disabled 以外のグループを選択した場合、Perfect Forward Secrecy (PFS) 機能はデフォルトで有効になります。この機能では、再ネゴシエーションのたびにキーを更新する必要があります。したがって、オンプレミスのゲートウェイデバイスでも PFS を有効にする必要があります。

        • group1、group2、group5、group14：DH グループの番号が大きいほどセキュリティは高くなりますが、より多くのリソースを消費します。

        [SA ライフサイクル (秒)]

        フェーズ 1 でネゴシエートされた SA (セキュリティアソシエーション) のライフタイム。デフォルト値：86400。値の範囲：0～86400。

        ローカル ID

        トンネルのローカルエンドの識別子。デフォルトでは、トンネルの IP アドレスがローカル識別子として使用されます。

        この識別子はネゴシエーションにのみ使用され、他の機能はありません。識別子は IP アドレスまたは完全修飾ドメイン名 (FQDN) で、スペースを含めることはできません。トンネルのローカルエンドの識別子としてプライベート IP アドレスを使用してください。

        LocalId に example.aliyun.com などの FQDN を使用する場合、オンプレミスゲートウェイデバイスに設定するピア ID は、LocalId の値と一致する必要があります。 ネゴシエーションモードは aggressive に設定します。

        リモート ID

        トンネルのリモートエンドの識別子。デフォルトでは、関連付けられたカスタマーゲートウェイの IP アドレスがリモート識別子として使用されます。

        この識別子はネゴシエーションにのみ使用され、他の機能はありません。識別子は IP アドレスまたは FQDN で、スペースを含めることはできません。トンネルのリモートエンドの識別子としてプライベート IP アドレスを使用してください。

        RemoteId に example.aliyun.com などの FQDN を使用する場合、オンプレミスゲートウェイデバイスに設定するローカル ID は RemoteId の値と一致させる必要があります。ネゴシエーションモードを aggressive に設定します。

      • [IPsec 構成] (フェーズ 2 暗号化)

        フェーズ 2 ネゴシエーションのパラメーターを設定します：

        • 暗号化アルゴリズム、認証アルゴリズム、DH グループ (前方秘匿性 PFS)、および SA ライフサイクル (秒)：フェーズ 1 の IKE 構成 セクションの対応するオプションの説明をご参照ください。

        • DPD：この機能は有効のままにしてください。ピアデバイスがアクティブであるかどうかを検出します。30 秒のタイムアウト後、SA は削除され、再ネゴシエーションが自動的に開始されます。

        • NAT トラバーサル：この機能は有効のままにしてください。有効にすると、システムはトンネルネゴシエーション中に NAT デバイスを自動的に検出します。NAT デバイスが検出された場合、UDP 4500 カプセル化が使用されます。データ送信中、UDP ポートの検証はスキップされ、NAT によってポート番号が変更されたパケットが正しく受信されるようになります。

      [BGP 設定]

      IPsec 接続に対して BGP を有効にした場合は、BGP トンネルの CIDR ブロックと Alibaba Cloud 側の BGP トンネル IP アドレスを指定できます。BGP を有効にしていない場合は、IPsec 接続を作成した後に有効にできます。詳細については、「IPsec-VPN 接続 (TR にアタッチ)」をご参照ください。

      詳細設定

      VPN 接続を作成すると、次の高度な機能がデフォルトで有効になります。

      • ルートの自動公開：TR の ルート同期機能を有効にします。これにより、TR ルートテーブルから IPsec-VPN 接続のルートテーブルにルートが自動的に発行されます。

      • 転送ルーターに自動的に関連付けるデフォルトのルートテーブル：IPsec-VPN 接続から TR に入るトラフィックは、TR のデフォルトルートテーブルに基づいて転送されます。

      • システムルートを転送ルーターに自動的に伝播するデフォルトのルートテーブル：TR の ルート学習機能を有効にします。TR は IPsec-VPN 接続のルートテーブルからルートを自動的に学習します。

      シングル トンネル モード

      IPsec-VPN 接続は、デュアル トンネル モードにアップグレードされました。既存のシングル トンネル モード接続を管理するには、以下の手順に従ってください。

      基本設定

      パラメーター

      説明

      [ネットワークタイプ]

      VPN Gateway を選択します。

      [リージョン]

      トランジットルーターがデプロイされているリージョンを選択します。

      [トランジットルーター]

      現在のリージョンで利用可能なトランジットルーターが表示されます。

      [リソース所有者 ID]

      IPsec 接続が属するアカウントのタイプを選択します。

      トランジットルーターは、自身と同じアカウントまたは別のアカウントに属する IPsec 接続に接続できます。

      • IPsec 接続とトランジットルーターインスタンスが同じ Alibaba Cloud アカウントに属している場合は、 現在のアカウント を選択します。

      • IPsec 接続とトランジットルーターインスタンスが異なる Alibaba Cloud アカウントに属している場合は、 別のアカウント を選択し、IPsec 接続が属する Alibaba Cloud アカウント (プライマリアカウント) の ID を入力します。

      [単一リソース]

      IPsec 接続のタイプを選択します。有効な値は次のとおりです。

      • リソースの作成：トランジットルーターを新しい IPsec 接続に接続します。

        VPN 接続が作成されると、システムは IPsec 接続を作成し、それをトランジットルーターに関連付けます。VPN Gateway コンソールに移動し、 編集 をクリックして新しい IPsec 接続の詳細を表示できます。詳細については、「IPsec 接続の変更」をご参照ください。

      • リソースの選択：トランジットルーターを既存の IPsec 接続に接続します。

      [接続名]

      VPN 接続の名前を入力します。

      [タグ]

      VPN 接続にタグを追加します。

      • [タグキー]: 空文字列は指定できません。キーの長さは最大 64 文字で、aliyun または acs: で始めることはできません。また、http:// または https:// を含めることはできません。

      • [タグ値]: 空文字列が使用可能です。値は 128 文字以内で、aliyun または acs: で開始したり、http:// または https:// を含めたりすることはできません。

      VPN 接続には複数のタグを追加できます。詳細については、「タグ」をご参照ください。

      [ゲートウェイタイプ]

      IPsec 接続のネットワークタイプを選択します。有効な値は次のとおりです。

      • パブリック (デフォルト)：IPsec 接続はインターネット経由で暗号化されたトンネルを確立します。

      • プライベート：IPsec 接続はプライベートネットワーク経由で暗号化されたトンネルを確立します。

      [ゾーン]

      ゾーンを選択します。

      システムは選択されたゾーンにリソースを作成します。

      [カスタマーゲートウェイ]

      IPsec 接続のカスタマーゲートウェイを選択します。

      [ルーティングモード]

      IPsec 接続のルーティングモードを選択します。有効な値は次のとおりです。

      • 送信先ルーティング (デフォルト)：宛先 IP アドレスに基づいてトラフィックを転送します。

      • フロー保護：正確な送信元および宛先 IP アドレスに基づいてトラフィックをルーティングおよび転送します。

        フロー保護 を選択した場合は、 ローカル CIDR ブロック と ピア CIDR ブロック を設定する必要があります。VPN 接続が設定されると、システムは自動的に宛先ルートを IPsec 接続のルートテーブルに追加します。デフォルトでは、そのルートは IPsec 接続に関連付けられているトランジットルーターのルートテーブルにアドバタイズされます。

      [直ちに適用]

      IPsec ネゴシエーションをすぐに開始するかどうかを指定します。有効な値は次のとおりです。

      • はい：設定が完了すると、システムはすぐに IPsec ネゴシエーションを開始します。

      • いいえ (デフォルト)：システムは、データトラフィックが検出された場合にのみ IPsec ネゴシエーションを開始します。

      [事前共有キー]

      IPsec 接続の認証キーを入力します。このキーは、Alibaba Cloud 側とオンプレミスデータセンター間の接続を認証します。

      キーは 1～100 文字の長さにする必要があります。事前共有キーを指定しない場合、システムはランダムな 16 文字の文字列を事前共有キーとして生成します。

      VPN 接続を作成した後、VPN Gateway コンソールに移動し、 編集 をクリックしてシステムが生成した事前共有キーを表示できます。詳細については、「IPsec 接続の変更」をご参照ください。

      重要

      IPsec 接続の事前共有キーは、オンプレミスデータセンター側のキーと一致している必要があります。一致しない場合、IPsec 接続は確立できません。

      IKE と IPsec の設定

      パラメーター

      説明

      [IKE 設定]

      [エディション]

      IKE プロトコルのバージョンを選択します。有効な値は次のとおりです。

      • [ikev1]

      • [ikev2] (デフォルト)

      IKEv1 と IKEv2 がサポートされています。IKEv1 と比較して、IKEv2 は SA ネゴシエーションを簡素化し、複数のネットワークセグメントを持つシナリオに対してより良いサポートを提供します。IKEv2 を選択することを推奨します。

      [ネゴシエーションモード]

      ネゴシエーションモードを選択します。有効な値は次のとおりです。

      • [main] (デフォルト)：メインモード。ネゴシエーション中のセキュリティが向上します。

      • [aggressive]：アグレッシブモード。より高速なネゴシエーションと高い成功率を提供します。

      ネゴシエーションが成功すると、両方のモードでデータ送信のセキュリティレベルは同じになります。

      [暗号化アルゴリズム]

      フェーズ 1 ネゴシエーションの暗号化アルゴリズムを選択します。

      サポートされているアルゴリズム： [AES] (aes128、デフォルト)、 [AES192]、 [AES256]、 [DES]、および [3DES]。

      [認証アルゴリズム]

      フェーズ 1 ネゴシエーションの認証アルゴリズムを選択します。

      サポートされているアルゴリズム： [SHA1] (デフォルト)、 [MD5]、 [SHA256]、 [SHA384]、および [SHA512]。

      [DH グループ]

      フェーズ 1 ネゴシエーションの Diffie-Hellman (DH) 鍵交換アルゴリズムを選択します。有効な値は次のとおりです。

      • [group1]：DH グループ 1。

      • [group2] (デフォルト)：DH グループ 2。

      • [group5]：DH グループ 5。

      • [group14]：DH グループ 14。

      [SA ライフタイム (秒)]

      フェーズ 1 ネゴシエーションの Security Association (SA) ライフタイムを秒単位で設定します。デフォルト： [86400]。有効範囲： [0～86400]。

      [LocalId]

      フェーズ 1 ネゴシエーションで使用される IPsec 接続の Alibaba Cloud 側の識別子を入力します。デフォルト値は、IPsec 接続のゲートウェイ IP アドレスです。

      [LocalId] は FQDN 形式をサポートしています。FQDN 形式を使用する場合は、ネゴシエーションモードを [aggressive] に設定することを推奨します。

      [RemoteId]

      フェーズ 1 ネゴシエーションで使用されるオンプレミスデータセンター側の識別子を入力します。デフォルト値は、カスタマーゲートウェイの IP アドレスです。

      [RemoteId] は FQDN 形式をサポートしています。FQDN 形式を使用する場合は、ネゴシエーションモードを [aggressive] に設定することを推奨します。

      [IPsec 設定]

      [暗号化アルゴリズム]

      フェーズ 2 ネゴシエーションの暗号化アルゴリズムを選択します。

      サポートされているアルゴリズム： [AES] (aes128、デフォルト)、 [AES192]、 [AES256]、 [DES]、および [3DES]。

      [認証アルゴリズム]

      フェーズ 2 ネゴシエーションの認証アルゴリズムを選択します。

      サポートされているアルゴリズム： [SHA1] (デフォルト)、 [MD5]、 [SHA256]、 [SHA384]、および [SHA512]。

      [DH グループ]

      フェーズ 2 ネゴシエーションの DH 鍵交換アルゴリズムを選択します。有効な値は次のとおりです。

      • [disabled]：DH 鍵交換アルゴリズムを使用しません。

        • PFS (Perfect Forward Secrecy) をサポートしていないクライアントの場合は、 [disabled] を選択します。

        • [disabled] 以外のグループを選択した場合、デフォルトで PFS が有効になります。この場合、再ネゴシエーションのたびにキーを更新する必要があります。したがって、対応するクライアントでも PFS を有効にする必要があります。

      • [group1]：DH グループ 1。

      • [group2] (デフォルト)：DH グループ 2。

      • [group5]：DH グループ 5。

      • [group14]：DH グループ 14。

      [SA ライフタイム (秒)]

      フェーズ 2 ネゴシエーションの SA ライフタイムを秒単位で設定します。デフォルト： [86400]。有効範囲： [0～86400]。

      [DPD]

      ピア生存確認 (DPD) を有効にするかどうかを指定します。DPD はデフォルトで有効になっています。

      DPD を有効にすると、IPsec-VPN 接続は DPD メッセージを送信して、ピアデバイスがアクティブであるかどうかを確認します。指定された期間内に応答がない場合、ピアは切断されたと見なされます。その後、IPsec-VPN 接続は ISAKMP SA と対応する IPsec SA を削除し、セキュリティトンネルも削除されます。DPD タイムアウト後、IPsec-VPN 接続は自動的に IPsec-VPN トンネルネゴシエーションを再開します。DPD タイムアウト期間は 30 秒です。

      [NAT トラバーサル]

      NAT (Network Address Translation) トラバーサルを有効にするかどうかを指定します。

      NAT トラバーサルを有効にすると、IKE ネゴシエーションプロセスは UDP ポートの検証をスキップし、暗号化された通信トンネル内の NAT ゲートウェイデバイスの検出に役立ちます。この機能はデフォルトで有効になっています。

      BGP 設定

      BGP 動的ルーティングにより、IPsec 接続はルートを自動的に学習およびアドバタイズできるため、メンテナンスコストと設定エラーが削減されます。

      BGP はデフォルトで無効になっています。BGP を設定する前に、BGP を有効にする必要があります。

      パラメーター

      説明

      [トンネル CIDR ブロック]

      IPsec トンネルの CIDR ブロックを入力します。

      トンネル CIDR ブロックは、169.254.0.0/16 内の /30 サブネットである必要があります。169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30、または 169.254.169.252/30 は使用できません。

      [ローカル BGP IP]

      IPsec 接続の Alibaba Cloud 側の BGP IP アドレスを入力します。

      このアドレスは、トンネル CIDR ブロック内の IP アドレスである必要があります。

      [ローカル ASN]

      IPsec 接続の Alibaba Cloud 側の ASN を入力します。デフォルト値： [45104]。有効な範囲は [1～4294967295] です。

      ASN は、16 ビットの数値、ピリオド (.)、16 ビットの数値を組み合わせた、2 部構成の形式で入力できます。各部分は 10 進値です。

      たとえば、123.456 と入力した場合、ASN は 123 × 65536 + 456 = 8061384 となります。

      説明

      Alibaba Cloud との BGP 接続を確立するには、プライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。

      ヘルスチェック

      ヘルスチェックは、IPsec 接続を介したオンプレミスデータセンターと Alibaba Cloud 間の接続状態を確認します。結果に基づいてルートが自動的に切り替えられ、ネットワークの可用性が向上します。

      ヘルスチェックはデフォルトで無効になっています。ヘルスチェック設定を追加する前に、ヘルスチェックを有効にする必要があります。

      重要

      ヘルスチェックを設定した後、オンプレミスデータセンター側にルートを追加し、宛先 CIDR ブロックを 送信元 IP (/32 マスク) に設定し、ネクストホップを IPsec 接続に向けてください。これにより、ヘルスチェックが期待どおりに機能するようになります。

      パラメーター

      説明

      [送信先 IP]

      Alibaba Cloud 側が IPsec 接続を介してアクセスできるオンプレミスデータセンターの IP アドレスを入力します。

      [ソース IP]

      オンプレミスデータセンターが IPsec 接続を介してアクセスできる Alibaba Cloud 側の IP アドレスを入力します。

      [再試行間隔]

      ヘルスチェックの再試行間隔を選択します。単位：秒。デフォルト値： [3]。

      [再試行回数]

      ヘルスチェックの再試行回数を選択します。デフォルト値： [3]。

      [ルートの切り替え]

      ヘルスチェックが失敗した場合に、システムが発行済みルートを撤回することを許可するかどうかを選択します。デフォルト値は はい で、ヘルスチェックが失敗した場合にシステムが発行済みルートを撤回することを意味します。

      はい の選択を解除すると、ヘルスチェックが失敗してもシステムは発行済みルートを撤回しません。

      詳細設定

      VPN 接続を作成すると、次の詳細設定がデフォルトで有効になります。

      パラメーター

      説明

      [VBR へルートを自動的にアドバタイズする]

      この機能を有効にすると、VPN 接続は トランジットルーター のルートテーブルから IPsec 接続の BGP ルートテーブルにルートを自動的に伝達します。

      説明

      • この機能は、IPsec 接続とオンプレミスデータセンター間で BGP 動的ルーティングが有効になっている場合にのみ有効です。

      • 後で 自動ルートアドバタイズ 機能を使用してこの機能を無効にできます。 詳細については、「ルート同期」をご参照ください。

      [トランジットルーターのシステムルートテーブルに自動的に関連付ける]

      この機能を有効にすると、VPN 接続は トランジットルーター のデフォルトルートテーブルに関連付けられます。その後、トランジットルーターはデフォルトルートテーブルを参照して、IPsec 接続からのトラフィックを転送します。

      [システムルートをトランジットルーターのシステムルートテーブルに自動伝播する]

      この機能を有効にすると、VPN 接続は IPsec 接続の宛先ベースのルートテーブルと BGP ルートテーブルから トランジットルーター のデフォルトルートテーブルにルートを伝達します。

      これらの詳細設定を無効にしてから、ルートテーブルの関連付けやルート学習などのトランジットルーターのルーティング機能を使用して、VPN 接続の接続性をカスタマイズできます。詳細については、「ルート管理」をご参照ください。

    VPN 接続の関連ルートテーブルの変更

    VPN 接続を作成した後、その接続に関連付けられているトランジットルーターのルートテーブルを変更できます。

    警告

    VPN 接続でルート同期が有効になっている場合、関連付けられているトランジットルーターのルートテーブルを変更すると、システムは以前同期されたルートを IPsec 接続から取り消します。その後、システムは新しいルートテーブルのルートを IPsec 接続の BGP ルートテーブルに同期します。ルート同期の詳細については、「ルート同期」をご参照ください。

    1. CEN コンソールにログインします。
    2. [インスタンス] ページで、管理するCENインスタンスを見つけ、インスタンスIDをクリックします。

    3. [基本情報] > トランジットルーター タブで、目的のリージョンにあるトランジットルーターインスタンスの ID をクリックします。

    4. リージョン内接続数 タブで、VPN 接続を見つけ、その ID をクリックします。

    5. 接続の詳細 パネルの 基本情報 セクションで、関連ルートテーブル の横にある 変更 をクリックします。

    6. Modify Route Table ダイアログボックスで、宛先のトランジットルーターのルートテーブルを選択し、OK をクリックします。

    API による VPN アタッチメントの作成

    Alibaba Cloud SDK (推奨) 、Alibaba Cloud CLI、Terraform、Resource Orchestration Service (ROS) などのツールを使用して API オペレーションを呼び出し、VPN アタッチメントを作成および変更できます。詳細については、次の API オペレーションをご参照ください。