SSL-VPN トンネルを使用した MongoDB インスタンスへの接続方法 - ApsaraDB for MongoDB

このトピックでは、VPC 内の ApsaraDB for MongoDB インスタンスに SSL-VPN トンネルを使用して接続する方法について説明します。SSL-VPN トンネルを使用すると、ローカルクライアントから簡単にインスタンスを管理できます。

利用シーン

ローカルクライアントのパブリック IP アドレスが動的に変更されるため、ApsaraDB for MongoDB コンソールでローカルクライアントのパブリック IP アドレスを含む IP アドレスホワイトリストを頻繁に更新する必要があります。期限切れの IP アドレスを速やかに削除しない場合、セキュリティリスクが生じる可能性があります。
インターネット経由で ApsaraDB for MongoDB インスタンスに接続する際に、高いセキュリティレベルが求められる場合。
Elastic Compute Service (ECS) インスタンスからインターネット経由で ApsaraDB for MongoDB インスタンスにログインする必要がある場合。この方法にはセキュリティリスクが伴うため、ECS の管理権限と ApsaraDB for MongoDB のデータベース権限を分離する必要があります。

課金

VPN ゲートウェイを作成すると、料金が発生します。詳細については、「課金概要」をご参照ください。

前提条件

ローカルクライアントの CIDR ブロックが、ApsaraDB for MongoDB インスタンスの CIDR ブロックと異なること。
ローカルクライアントがインターネットにアクセスできること。

ネットワーク構成

SSLConnection environment overview

手順 1：VPN ゲートウェイの作成

詳細については、「VPN Gateway」をご参照ください。

VPN ゲートウェイを作成する際は、以下の表に示すパラメーターにご注意ください。

パラメーター	説明
リージョン	VPN ゲートウェイが配置されるリージョンです。ApsaraDB for MongoDB インスタンスと同じリージョンを選択してください。
VPC	VPC ゲートウェイが属する VPC です。ApsaraDB for MongoDB インスタンスと同じ VPC を選択してください。
IPsec-VPN	IPsec-VPN 機能を有効にするかどうかを指定します。本チュートリアルでは、クライアントが直接 VPC に接続します。閉じるを選択してください。 IPsec-VPN 機能はサイト間接続を提供します。IPsec トンネルを作成して、データセンターと VPC 間、または 2 つの VPC 間に接続を確立できます。
SSL-VPN	SSL-VPN 機能を有効にするかどうかを指定します。本チュートリアルでは、クライアントが直接 VPC に接続します。Enable を選択してください。 SSL-VPN 機能はサイト間 VPN 接続を提供します。SSL-VPN トンネルを使用して、ローカルクライアントと VPN 間に接続を確立できます。ローカルクライアント側にゲートウェイを構成する必要はありません。

手順 2：SSL サーバーの作成

詳細については、「SSL サーバーの作成と管理」をご参照ください。

SSL サーバーを作成する際は、以下の表に示すパラメーターにご注意ください。

パラメーター	説明
VPN ゲートウェイ	ApsaraDB for MongoDB インスタンスに関連付けられた VPN ゲートウェイです。手順 1 で作成した VPC ゲートウェイを選択してください。
ローカルネットワーク	SSL-VPN 接続を使用してローカルクライアントがアクセスする必要のあるローカル CIDR ブロックです。CIDR ブロックは、VPC、vSwitch、専用回線で VPC に接続されたデータセンター、または ApsaraDB RDS や Object Storage Service (OSS) などの Alibaba Cloud サービスの CIDR ブロックになります。本例では、ApsaraDB for MongoDB インスタンスが属する VPC 内の vSwitch の CIDR ブロック「172.16.1.0/24」を入力します。説明 CIDR ブロックのサブネットマスクは、16～29 ビットの長さである必要があります。
クライアント CIDR ブロック	ローカルクライアントの仮想ネットワークインターフェースに割り当てる CIDR ブロックです。ローカルクライアントが存在する CIDR ブロックを入力しないでください。ローカルクライアントが SSL-VPN トンネルを使用して ApsaraDB for MongoDB インスタンスに接続されると、VPN ゲートウェイは指定された CIDR ブロックから IP アドレスを選択し、ローカルクライアントに割り当てます。本例では、「192.168.100.0/24」を入力します。説明クライアント CIDR ブロックパラメーターの値がローカルネットワークパラメーターの値と重複しないようにしてください。

手順 3：SSL クライアントの作成

SSL クライアントの作成方法の詳細については、「SSL クライアント証明書の作成と管理」をご参照ください。

クライアントに証明書をダウンロードしてインストールします。

手順 4：SSL-VPN 接続の確立

Linux クライアント

次のコマンドを実行して OpenVPN クライアントをインストールし、conf ディレクトリを作成します。
CentOS
```
yum install -y openvpn
mkdir -p /etc/openvpn/conf
```
Ubuntu
```
apt-get update
apt-get install -y openvpn
mkdir -p /etc/openvpn/conf
```
ダウンロードした ssl クライアント証明書パッケージを解凍し、ファイルを /etc/openvpn/conf/ ディレクトリにコピーします。
/etc/openvpn/conf/ ディレクトリに移動し、次のコマンドを実行して VPN 接続を確立します。
```
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
```

（任意）OpenVPN プロセスを起動時に自動的に開始するように構成します。

/etc/rc.local ファイルを編集し、次の行を追加します。

# /etc/rc.local ファイルを編集モードで開きます。
vi /etc/rc.local 
# i キーを押して編集モードに入り、次のコマンドをファイルに追加します。
cd /etc/openvpn/conf/
openvpn --config /etc/openvpn/conf/config.ovpn --daemon
# Esc キーを押して編集モードを終了し、次のコマンドを入力して保存して終了します。
:wq

/etc/rc.local ファイルに実行権限を付与します。
```
chmod +x /etc/rc.local
```

Windows クライアント

ご利用の Windows バージョンに対応する OpenVPN クライアントをダウンロードし、画面の指示に従ってインストールします。
- Windows 64 ビットシステム (Intel/AMD)：OpenVPN クライアント (Windows 64 ビット)。
- Windows ARM64 システム：OpenVPN クライアント (Windows ARM64)。
ダウンロードリンクが開けない場合は、アカウントマネージャーまたは Alibaba Cloud エンジニアにお問い合わせください。
ダウンロードした ssl クライアント証明書パッケージを解凍し、抽出されたファイルをすべて OpenVPN 構成ディレクトリにコピーします。
- デフォルトパス：C:\Program Files\OpenVPN\config
- 注記：インストールパスを変更した場合は、実際のインストールディレクトリ内の config フォルダにファイルをコピーしてください。
テキストエディターで config.ovpn ファイルを開き、ファイルの末尾に次の行を追加します：disable-dco。
OpenVPN 2.6 で導入された Data Channel Offload (DCO) 機能は、特定のバージョンの Windows 10 や Windows 11 など、一部の Windows システムと互換性がありません。この設定により DCO が無効化され、これらのデバイスでの接続に関する潜在的な問題を解決できます。
システムトレイの OpenVPN アイコンを右クリックし、Connect をクリックして VPN 接続を確立します。
状態が Connected に変わり、IP アドレスが割り当てられれば、接続は成功しています。

手順 5：ApsaraDB for MongoDB インスタンスへのログイン

SSL サーバーの構成で指定したクライアント CIDR ブロックを、ApsaraDB for MongoDB インスタンスの IP ホワイトリストに追加します。本例では、「192.168.100.0/24」を ApsaraDB for MongoDB インスタンスの IP ホワイトリストに追加します。
ApsaraDB for MongoDB コンソールにログインします。
ApsaraDB for MongoDB インスタンスの内部エンドポイントを取得します。詳細については、「レプリカセットインスタンスへの接続」をご参照ください。
mongo シェルまたはその他の管理ツールを使用して、ApsaraDB for MongoDB インスタンスにログインします。mongo シェルの詳細については、「mongo シェルを使用した ApsaraDB for MongoDB レプリカセットインスタンスへの接続」をご参照ください。
説明
ApsaraDB for MongoDB インスタンスには、インスタンスの内部エンドポイントを使用してログインしてください。