すべてのプロダクト
Search

このプロダクト

    Express Connect:BGP ルーティングを使用してプライベート接続を暗号化する

    ドキュメントセンター

    Express Connect:BGP ルーティングを使用してプライベート接続を暗号化する

    最終更新日:Jul 26, 2025

    データセンターと仮想プライベートクラウド (VPC) 間のプライベート接続を暗号化するには、Express Connect Router (ECR) を作成し、それを使用して仮想ボーダールーター (VBR) と VPC を接続します。次に、VPN ゲートウェイを作成し、VPN ゲートウェイと VBR の BGP ルーティングを構成します。

    例

    ある企業は中国 (杭州) にデータセンターを所有し、同じリージョンに VPC をデプロイしています。アプリケーションは VPC 内の Elastic Compute Service (ECS) インスタンスにデプロイされています。ビジネスの成長に伴い、企業は Express Connect 回線と ECR を使用して VPC をデータセンターに接続したいと考えています。さらに、セキュリティ上の理由から、VPC とデータセンター間の接続を暗号化したいと考えています。

    プライベート接続が作成された後、企業は VPC に VPN ゲートウェイを作成し、VPN ゲートウェイとオンプレミスゲートウェイデバイス間に IPsec 接続を確立します。次に、VBR と VPN ゲートウェイの両方で BGP ルーティングを構成して、プライベート接続を暗号化します。

    準備

    • プライベート VPN ゲートウェイは招待プレビュー中です。アカウントマネージャーからアクセス許可を申請済みであることを確認してください。

    • データセンターとネットワークインスタンスのネットワークを計画する必要があります。データセンターの CIDR ブロックがネットワークインスタンスの CIDR ブロックと重複しないようにしてください。次の表に、この例の CIDR ブロックを示します。

      対象

      CIDR ブロック計画

      IP アドレス

      VPC

      • プライマリ CIDR ブロック: 10.0.0.0/16

      • vSwitch 1 の CIDR ブロック: 10.0.0.0/24

      • vSwitch 2 の CIDR ブロック: 10.0.1.0/24

      • ECS1: 10.0.1.1

      • ECS2: 10.0.1.2

      VBR

      10.0.0.0/30

      • VLAN ID: 201

      • Alibaba Cloud 側の IPv4 アドレス: 10.0.0.2/30

      • ユーザー側の IPv4 アドレス: 10.0.0.1/30

        この例では、ユーザー側とはオンプレミスゲートウェイデバイスを指します。

      ECR

      -

      ASN: 45104

      データセンター

      • 10.0.0.0/30

      • 192.168.0.0/24

      • VPN IP アドレス: 192.168.0.251

        VPN IP アドレスとは、VPN ゲートウェイと IPsec 接続を確立するオンプレミスゲートウェイデバイス上のインターフェイスの IP アドレスを指します。

      • Express Connect 回線に接続されたインターフェイスの IP アドレス: 10.0.0.1

      • ASN: 65530

    • 中国 (杭州) リージョンに VPC を作成し、その中の ECS インスタンスにアプリケーションをデプロイしています。詳細については、「VPC の作成と管理」をご参照ください。

      このシナリオでは、VPC には 2 つの vSwitch があります。vSwitch 1 はゾーン H にあり、vSwitch 2 はゾーン I にあります。ECS インスタンスは vSwitch 2 にデプロイされています。vSwitch 1 は VPN ゲートウェイとの関連付けにのみ使用されます。

      説明

      VPC を作成する際は、VPN ゲートウェイ専用の vSwitch を VPC 内に作成することをお勧めします。こうすることで、vSwitch は VPN ゲートウェイにプライベート IP アドレスを割り当てることができます。

    • データセンターのオンプレミスゲートウェイデバイスを確認し、標準の IKEv1 および IKEv2 プロトコルをサポートしていることを確認します。ゲートウェイデバイスがこれらのプロトコルをサポートしているかどうかを確認するには、ゲートウェイベンダーにお問い合わせください。

    • VPC 内の ECS インスタンスに適用されるセキュリティグループルールと、データセンターのクライアントに適用されるアクセス制御ルールを理解しています。ルールによって、VPC 内の ECS インスタンスがデータセンターのクライアントと通信できることを確認します。詳細については、「セキュリティグループルールの表示」および「セキュリティグループルールの追加」をご参照ください。

    手順

    ステップ 1: Express Connect 回線をデプロイする

    データセンターを VPC に接続するには、Express Connect 回線をデプロイする必要があります。

    1. Express Connect 回線を作成します。

      中国 (杭州) リージョンで Express Connect 回線を申請する必要があります。詳細については、「クラシックモード」または「Express Connect 回線を介したホステッド接続の概要」をご参照ください。

      この例では、専用物理接続が選択されています。

    2. VBR を作成します。

      1. Express Connect コンソール にログインします。

      2. 左側のナビゲーションウィンドウで、[仮想ボーダールーター (VBR)] をクリックします。

      3. 上部のナビゲーションバーで、VBR を作成するリージョンを選択します。

        この例では、[中国 (杭州)] リージョンが選択されています。

      4. [仮想ボーダールーター (VBR)] ページで、[VBR の作成] をクリックします。

      5. [VBR の作成] パネルで、次のパラメーターを構成し、[OK] をクリックします。

        次の表では、主要なパラメーターのみを説明しています。詳細については、「VBR の作成と管理」をご参照ください。

        パラメーター

        説明

        [アカウント]

        [現在のアカウント] が選択されています。

        [名前]

        VBR と入力します。

        [Express Connect 回線]

        [専用物理接続] をクリックし、ステップ 1 で作成した Express Connect 回線を選択します。

        [VLAN ID]

        [201] と入力します。

        [VBR 帯域幅値の設定]

        VBR の最大帯域幅値を選択します。

        [Alibaba Cloud 側 IPv4 アドレス]

        10.0.0.2 と入力します。

        [データセンター側 IPv4 アドレス]

        10.0.0.1 と入力します。

        [IPv4 サブネットマスク]

        255.255.255.252 と入力します。

    3. データセンターの CIDR ブロックを Alibaba Cloud にアドバタイズするために、VBR のカスタムルートを追加します。

      1. [仮想ボーダールーター (VBR)] ページで、VBR の ID をクリックします。

      2. [ルート] タブをクリックし、[ルートの追加] をクリックします。

      3. [ルートの追加] パネルで、次のパラメーターを構成し、[OK] をクリックします。

        パラメーター

        説明

        [ネクストホップタイプ]

        [物理接続インターフェイス] を選択します。

        [宛先 CIDR ブロック]

        データセンターの CIDR ブロックを入力します。

        この例では、192.168.0.0/16 と入力します。

        ネクストホップ

        ステップ 1 で作成した Express Connect 回線を選択します。

    4. オンプレミスゲートウェイデバイスを構成します。

      データセンターから VPC へのトラフィックを Express Connect 回線にルーティングするために、次のルートをオンプレミスゲートウェイデバイスに追加する必要があります。

      次の構成は参考用です。コマンドはネットワークデバイスベンダーによって異なる場合があります。コマンドについては、ベンダーにお問い合わせください。

      ip route 10.0.0.0 255.255.0.0 10.0.0.2 // VPC へのトラフィックを 10.0.0.2 経由でルーティングします。

    ステップ 2: ECR を構成する

    VPC と VBR を ECR に関連付ける必要があります。その後、データセンターと VPC は ECR を使用してプライベート接続を介して相互に通信できます。

    1. ECR を作成します。

      1. Express Connect コンソール にログインします。

      2. 左側のナビゲーションウィンドウで、[Express Connect Router (ECR)] をクリックします。[Express Connect Router (ECR)] ページで、[ECR の作成] をクリックします。

      3. [ECR の作成] ダイアログボックスで、次の表に記載されているパラメーターを構成し、[課金ルールを読み、理解しました] を選択して、[OK] をクリックします。

        パラメーター

        説明

        [名前]

        ゲートウェイ名を入力します。

        この例では、ECR と入力します。

        [ASN]

        ECR の ASN。

        この例では、45104 と入力します。

        [説明]

        ゲートウェイの説明を入力します。

        この例では、ECR-for-test-private-VPN-Gateway と入力します。

    2. VPC インスタンスに接続します。

      1. Express Connect コンソール にログインします。

      2. 左側のナビゲーションウィンドウで、[Express Connect Router (ECR)] をクリックし、[Express Connect Router (ECR)] ページで、ステップ 1 で作成した ECR をクリックします。

      3. [VPC] タブをクリックし、[VPC の関連付け] をクリックします。

      4. [VPC の関連付け] ダイアログボックスで、次のパラメーターを構成し、[OK] をクリックします。

        パラメーター

        説明

        [リソースオーナー]

        VPC が属するアカウントのタイプ。

        この例では、[現在のアカウント] が選択されています。

        [リージョン]

        VPC が存在するリージョン。

        この例では、[中国 (杭州)] が選択されています。

        [VPC ID]

        ECR に関連付ける VPC の ID。

        この例では、VPC の ID が選択されています。

    3. VBR を ECR に関連付けます。

      1. Express Connect コンソール にログインします。

      2. 左側のナビゲーションウィンドウで、[Express Connect Router (ECR)] をクリックし、[Express Connect Router (ECR)] ページで、ステップ 1 で作成した ECR をクリックします。

      3. [VBR] タブをクリックし、[VBR の関連付け] をクリックします。

      4. [VBR の関連付け] ダイアログボックスで、次のパラメーターを構成し、[OK] をクリックします。

        パラメーター

        説明

        [リソースオーナー]

        VBR が属するアカウントのタイプ。

        この例では、[現在のアカウント] が選択されています。

        [リージョン]

        VBR が存在するリージョン。

        この例では、[中国 (杭州)] が選択されています。

        [ネットワークインスタンス]

        ターゲット VBR インスタンスを選択します。

        この例では、VBR が選択されています。

    ステップ 3: VPN ゲートウェイをデプロイする

    上記の手順を完了すると、データセンターはプライベート接続を介して VPC と通信できます。ただし、データ伝送は暗号化されていません。プライベート接続を暗号化するには、VPC に VPN ゲートウェイをデプロイし、オンプレミスゲートウェイデバイスへの IPsec-VPN 接続を作成する必要があります。

    1. VPN ゲートウェイを作成します。

      1. VPN Gateway コンソール にログインします。

      2. トップメニューバーで、VPN ゲートウェイをデプロイするリージョンを選択します。

        VPN ゲートウェイは、VPN ゲートウェイを関連付ける VPC と同じリージョンにデプロイする必要があります。この例では、[中国 (杭州)] が選択されています。

      3. VPN Gateway ページで、VPN Gateway の作成 をクリックします。

      4. 購入ページで、次のパラメーターを構成し、[今すぐ購入] をクリックして、支払いを完了します。

        パラメーター

        説明

        [名前]

        VPN ゲートウェイの名前を入力します。

        この例では、VPN Gateway 1 と入力します。

        リージョン

        VPN ゲートウェイをデプロイするリージョンを選択します。

        [中国 (杭州)] が選択されています。

        [ゲートウェイタイプ]

        VPN ゲートウェイのタイプを選択します。

        [標準] が選択されています。

        [ネットワークタイプ]

        VPN ゲートウェイのネットワークタイプを選択します。

        [非公開] が選択されています。

        [トンネル]

        リージョンでサポートされている IPsec-VPN 接続のトンネルモードが表示されます。

        VPC

        VPN ゲートウェイを関連付ける VPC。

        この例では、VPC が選択されています。

        [vSwitch]

        VPC 内の vSwitch。

        • シングルトンネルを選択した場合は、1 つの vSwitch のみ指定する必要があります。

        • デュアルトンネルを選択した場合は、2 つの vSwitch を指定する必要があります。

          IPsec-VPN 機能が有効になると、システムは 2 つの vSwitch のそれぞれに Elastic Network Interface (ENI) を作成し、IPsec-VPN 接続を介して VPC と通信するためのインターフェイスとして使用します。各 ENI は vSwitch 内の 1 つの IP アドレスを占有します。

        説明

        • システムはデフォルトで vSwitch を選択します。デフォルトの vSwitch を変更または使用できます。

        • VPN ゲートウェイの作成後、VPN ゲートウェイに関連付けられた vSwitch を変更することはできません。VPN ゲートウェイの詳細ページで、VPN ゲートウェイに関連付けられた vSwitch、vSwitch が属するゾーン、vSwitch 内の ENI を表示できます。

        [vSwitch 2]

        VPC 内の vSwitch。

        シングルトンネルを選択した場合は、このパラメーターは無視されます。

        最大帯域幅

        VPN ゲートウェイの最大帯域幅値を選択します。単位: Mbit/s。

        [トラフィック]

        VPN ゲートウェイの課金方法。デフォルト値: [データ転送ごとの支払い]。

        詳細については、「課金概要」をご参照ください。

        [IPsec-VPN]

        プライベート VPN ゲートウェイは IPsec-VPN 機能のみをサポートします。

        この例では、IPsec-VPN 機能のデフォルト値 [有効] が選択されています。

        期間

        サブスクリプション期間を選択します。

        VPN ゲートウェイの課金サイクル。デフォルト値: [時間ごと]。

        [サービスリンクロール]

        [サービスリンクロールの作成] をクリックします。システムは自動的にサービスリンクロール AliyunServiceRoleForVpn を作成します。

        VPN ゲートウェイは、このロールを担って他のクラウドリソースにアクセスします。詳細については、「AliyunServiceRoleForVpn」をご参照ください。

        [作成済み] と表示されている場合は、サービスリンクロールが作成されているため、再度作成する必要はありません。

      5. [VPN ゲートウェイ] ページに戻り、作成された VPN ゲートウェイを表示し、後続の IPsec 接続構成のために VPN ゲートウェイのプライベート IP アドレスを記録します。

        新しく作成された VPN ゲートウェイのステータスは、[準備中] です。約 1 ～ 5 分後、ステータスは [通常] に変わります。これは、VPN ゲートウェイが初期化され、使用できる状態になっていることを示します。

    2. カスタマーゲートウェイを作成します。

      1. 左側のナビゲーションウィンドウで、[クロスネットワーク相互接続] > [VPN] > カスタマーゲートウェイ を選択します。

      2. カスタマーゲートウェイ ページで、カスタマーゲートウェイの作成 をクリックします。

      3. [カスタマーゲートウェイの作成] パネルで、次のパラメーターを構成し、[OK] をクリックします。

        以下の内容は、主要なパラメーターのみを説明しています。

        • [名前]: カスタマーゲートウェイの名前を入力します。

          この例では、Customer-Gateway と入力します。

        • [IP アドレス]: VPN ゲートウェイに接続するオンプレミスゲートウェイデバイスの VPN IP アドレスを入力します。

          この例では、192.168.0.251 と入力します。

        • [ASN]: オンプレミスゲートウェイデバイスの ASN を入力します。

          この例では、65530 と入力します。

    3. IPsec-PN 接続を作成します。

      1. 左側のナビゲーションウィンドウで、[クロスネットワーク相互接続] > [VPN] > IPsec 接続 を選択します。

      2. IPsec-VPN 接続 ページで、VPN 接続の作成 をクリックします。

      3. [IPsec 接続の作成] ページで、次のパラメーターを構成し、[OK] をクリックします。

        次の表では、主要なパラメーターのみを説明しています。詳細については、「シングルトンネルモードでの IPsec-VPN 接続の作成と管理」をご参照ください。

        パラメーター

        説明

        [名前]

        IPsec-VPN 接続の名前を入力します。

        この例では、IPsec Connection 1 と入力します。

        [VPN ゲートウェイ]

        作成した VPN ゲートウェイ。

        この例では、VPN Gateway 1 が選択されています。

        [カスタマーゲートウェイ]

        作成したカスタマーゲートウェイ。

        この例では、Customer-Gateway が選択されています。

        ルーティングモード

        ルーティングモードを選択します。

        この例では、[宛先ルーティングモード] が選択されています。

        [すぐに有効]

        変更をすぐに適用するかどうかを選択します。

        • [はい]: 構成が完了した後、すぐにネゴシエーションが開始されます。

        • [いいえ]: インバウンドトラフィックが検出されたときにネゴシエーションが開始されます。

        この例では、[はい] が選択されています。

        [事前共有鍵]

        認証に使用される事前共有鍵。

        値を入力しない場合、システムはランダムな 16 文字の文字列を事前共有鍵として生成します。

        重要

        オンプレミスゲートウェイデバイスと IPsec-VPN 接続で同じ事前共有鍵を使用していることを確認してください。

        この例では、fddsFF123**** と入力します。

        [暗号化構成]

        この例では、[IKE 構成] セクションの [バージョン] パラメーターに [ikev2] が選択されています。その他のパラメーターにはデフォルト値が使用されます。

        [BGP 構成]

        この例では、BGP 構成が有効になっています。次のパラメーターを構成します。

        • [トンネル CIDR ブロック]: IPsec トンネルの CIDR ブロック。

          CIDR ブロックは 169.254.0.0/16 の範囲内である必要があります。CIDR ブロックのマスクは 30 ビットの長さである必要があります。

          この例では、169.254.10.0/30 と入力します。

        • [ローカル BGP IP アドレス]: VPN ゲートウェイ側の BGP IP アドレス。

          この IP アドレスは、IPsec トンネルの CIDR ブロックの範囲内である必要があります。

          この例では、169.254.10.1 と入力します。データセンター側の BGP IP アドレスは 169.254.10.2 です。

        • [ローカル ASN]: VPN ゲートウェイ側の ASN。デフォルト値: 45104。

          この例では、デフォルト値 45104 を使用します。

          重要

          VBR と VPN ゲートウェイの両方で BGP ルーティングを構成する場合は、VPN ゲートウェイ側の ASN が VBR の ASN と同じであることを確認してください。これにより、ルート管理が容易になります。

        [ヘルスチェック]

        この例では、デフォルト設定が使用されます。

      4. IPsec-VPN 接続を作成した後、[作成済み] メッセージの [OK] をクリックします。

    4. VPN ゲートウェイの自動 BGP アドバタイズを有効にします。

      自動 BGP アドバタイズが有効になり、VPN ゲートウェイとオンプレミスゲートウェイデバイス間のピアリング接続が確立されると、VPN ゲートウェイはデータセンターの CIDR ブロックを学習し、VPC にアドバタイズします。また、VPN ゲートウェイは VPC のシステムルートテーブル内のルートをオンプレミスゲートウェイデバイスにアドバタイズします。

      1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [VPN ゲートウェイ] を選択します。

      2. [VPN Gateway] ページで、VPN Gateway 1 を見つけ、[操作] 列で More > 自動 BGP 伝播を有効にする を選択します。

      3. 自動 BGP 伝播を有効にする ダイアログボックスで、[OK] をクリックします。

    5. オンプレミスゲートウェイデバイスの IPsec 接続構成をダウンロードします。

      1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec 接続] を選択します。

      2. [IPsec 接続] ページで、IPsec Connection 1 を見つけ、[アクション] 列の [ピア構成のダウンロード] をクリックします。

        ダウンロードした IPsec 構成をクライアントに保存します。

    6. VPN 構成、BGP 構成、および静的ルートをオンプレミスゲートウェイデバイスに追加します。

      ダウンロードした IPsec 構成に基づいて、VPN、BGP、および静的ルートをオンプレミスゲートウェイデバイスに構成します。

      次の構成は参考用です。コマンドはネットワークデバイスベンダーによって異なる場合があります。特定のコマンドについては、ベンダーにお問い合わせください。

      1. オンプレミスゲートウェイデバイスのコマンドラインインターフェイスにログインします。

      2. 次のコマンドを実行して、IKEv2 プロポーザルとポリシーを構成します。

        crypto ikev2 proposal alicloud  
encryption aes-cbc-128          //暗号化アルゴリズムを構成します。この例では、aes-cbc-128 が使用されています。
integrity sha1                  //認証アルゴリズムを構成します。この例では、sha1 が使用されています。
group 2                         //DH グループを構成します。この例では、グループ 2 が使用されています。
exit
!
crypto ikev2 policy Pureport_Pol_ikev2
proposal alicloud
exit
!

      3. 次のコマンドを実行して、IKEv2 キーリングを構成します。

        crypto ikev2 keyring alicloud
peer alicloud
address 10.0.0.167               // VPN ゲートウェイのプライベート IP アドレスを構成します。この例では、10.0.0.167 を使用しています。
pre-shared-key fddsFF123****     // 事前共有鍵を構成します。この例では、fddsFF123**** を使用しています。
exit
!

      4. 次のコマンドを実行して、IKEv2 プロファイルを構成します。

        crypto ikev2 profile alicloud
match identity remote address 10.0.0.167 255.255.255.255    //VPN ゲートウェイのプライベート IP アドレスを構成します。この例では、10.0.0.167 を使用しています。
identity local address 192.168.0.251    //データセンターの VPN IP アドレスを構成します。この例では、192.168.0.251 を使用しています。
authentication remote pre-share   //リモート側の認証モードを PSK（事前共有鍵）に設定します。
authentication local pre-share    //ローカル側の認証モードを PSK に設定します。
keyring local alicloud            //IKEv2 キーリングを使用します。
exit
!

      5. 変換を設定するには、次のコマンドを実行します。

        crypto ipsec transform-set TSET esp-aes esp-sha-hmac
// モード トンネル
mode tunnel
exit
!

      6. 次のコマンドを実行して、IPsec プロファイルを設定し、変換、PFS、および IKEv2 プロファイルをセットします。

        crypto ipsec profile alicloud
set transform-set TSET  // 変換セット TSET を設定
set pfs group2 // PFS group2 を設定
set ikev2-profile alicloud // IKEv2 プロファイル alicloud を設定
exit
!

      7. IPsec トンネルを設定するには、次のコマンドを実行します。

        interface Tunnel100
ip address 169.254.10.2 255.255.255.252    //データセンターのトンネルアドレスを設定します。この例では、169.254.10.2 を使用しています。
tunnel source GigabitEthernet1
tunnel mode ipsec ipv4
tunnel destination 10.0.0.167              //VPN ゲートウェイのプライベート IP アドレスを設定します。この例では、10.0.0.167 を使用しています。
tunnel protection ipsec profile alicloud
no shutdown
exit
!
interface GigabitEthernet1                 //VPN ゲートウェイに接続するために使用するインターフェイスの IP アドレスを設定します。
ip address 192.168.0.251 255.255.255.0
negotiation auto
!

      8. 次のコマンドを実行して、BGP ルーティングを構成します。

        重要

        VPC からデータセンターへのトラフィックが VPN ゲートウェイの暗号化トンネルにルーティングされるようにするには、オンプレミスゲートウェイデバイスの BGP 構成で、データセンターの CIDR ブロックよりも小さい CIDR ブロックをアドバタイズする必要があります。

        たとえば、この例では、データセンターの CIDR ブロックは 192.168.0.0/16 です。オンプレミスゲートウェイデバイスの BGP 構成でアドバタイズされる CIDR ブロックは、この CIDR ブロックよりも小さくなければなりません。この例では、192.168.1.0/24 がアドバタイズされます。

        router bgp 65530                         //BGP ルーティングを有効にし、データセンターの ASN を構成します。この例では、65530 を使用します。
neighbor 169.254.10.1 remote-as 45104    //BGP ピアの ASN を構成します。この例では、VPN ゲートウェイ 45104 の ASN を使用します。
neighbor 169.254.10.1 ebgp-multihop 10   //EBGP ホップ数を 10 に設定します。
!
address-family ipv4
network 192.168.1.0 mask 255.255.255.0   //データセンターの CIDR ブロックをアドバタイズします。この例では、192.168.1.0/24 がアドバタイズされます。
neighbor 169.254.10.1 activate           //BGP ピアをアクティブにします。
exit-address-family
!

      9. 次のコマンドを実行して、静的ルートを設定します。

        ip route 10.0.0.167 255.255.255.255 10.0.0.2  //データセンターから VPN ゲートウェイへのトラフィックを Express Connect 回線を介してルーティングします。

    ステップ 4: インスタンスのルートを構成する

    上記の手順を完了すると、オンプレミスゲートウェイデバイスと VPN ゲートウェイの間に暗号化トンネルが確立されます。データセンターが Alibaba Cloud と通信する場合、トラフィックを暗号化トンネルにルーティングするために、クラウドネットワークインスタンスのルートを構成する必要があります。

    1. VPC にカスタムルートを追加します。

      1. VPC コンソール にログインします。

      2. 左側のナビゲーションウィンドウで、[ルートテーブル] をクリックします。

      3. 上部のナビゲーションバーで、ルートテーブルが属するリージョンを選択します。

        この例では、[中国 (杭州)] が選択されています。

      4. [ルートテーブル] ページで、管理するルートテーブルを見つけて、その ID をクリックします。

        この例では、VPC のシステムルートテーブルを見つける方法を示します。

      5. [ルートエントリリスト] タブで、[カスタムルート] タブをクリックし、[ルートエントリの追加] をクリックします。

      6. [ルートエントリの追加] ダイアログボックスで、次のパラメーターを構成し、[OK] をクリックします。

        パラメーター

        説明

        [名前]

        カスタムルートの名前を入力します。

        [宛先 CIDR ブロック]

        カスタムルートの宛先 CIDR ブロックを入力します。

        この例では、[IPv4 CIDR ブロック] が選択され、オンプレミスゲートウェイデバイスの VPN IP アドレス 192.168.0.251/32 が入力されています。

        [ネクストホップタイプ]

        ネクストホップのタイプを選択します。

        この例では、[ダイレクトコネクトゲートウェイ] が選択されています。

        [専用線ゲートウェイ]

        カスタムルートのネクストホップを選択します。

        この例では、ECR が選択されています。

    2. VBR にカスタムルートを追加します。

      1. Express Connect コンソール にログインします。

      2. 左側のナビゲーションウィンドウで、[仮想ボーダールーター (VBR)] をクリックします。

      3. 上部のナビゲーションバーで、VBR がデプロイされているリージョンを選択します。

        この例では、[中国 (杭州)] が選択されています。

      4. [仮想ボーダールーター (VBR)] ページで、管理する VBR の ID をクリックします。

      5. [ルート] タブをクリックし、[ルートの追加] をクリックします。

      6. [ルートの追加] パネルで、次のパラメーターを構成し、[OK] をクリックします。

        パラメーター

        説明

        [ネクストホップタイプ]

        [物理接続インターフェイス] を選択します。

        [宛先 CIDR ブロック]

        オンプレミスゲートウェイデバイスの VPN IP アドレス。

        この例では、192.168.0.251/32 と入力します。

        [ネクストホップ]

        ステップ 1 で作成した Express Connect 回線を選択します。

    ステップ 5: テストと検証

    上記の手順を完了すると、データセンターはプライベート接続および暗号化接続を介して VPC と通信できます。次のセクションでは、データセンターと VPC 間の接続を確認する方法と、プライベート接続が VPN ゲートウェイによって暗号化されているかどうかを確認する方法について説明します。

    1. ネットワーク接続を確認します。

      1. ECS 1 にログインします。詳細については、「ECS インスタンスに接続する方法」をご参照ください。

      2. ping コマンドを実行してデータセンター内のクライアントに ping を送信し、データセンターと VPC 間のネットワーク接続を確認します。

        ping <データセンター内のクライアントの IP アドレス>

        エコー応答パケットが返された場合、データセンターは VPC に接続されています。

    2. プライベート接続が暗号化されているかどうかを確認します。

      1. VPN Gateway コンソール にログインします。

      2. 上部のナビゲーションバーで、VPN ゲートウェイがデプロイされているリージョンを選択します。

        この例では、[中国 (杭州)] が選択されています。

      3. 左側のナビゲーションウィンドウで、[クロスネットワーク相互接続] > [VPN] > IPsec 接続 を選択します。

      4. [IPsec 接続] ページで、ステップ 3 で作成した IPsec-VPN 接続を見つけて、その ID をクリックします。

      5. [監視] タブをクリックして、トラフィックのモニタリングデータを表示します。