VPN Gateway:IPsec 接続 (VPN Gateway)

仕組み

デフォルトでは、Alibaba Cloud の IPsec-VPN 接続は デュアルトンネルモード (アクティブトンネルとスタンバイトンネル) を使用してリンクの冗長性を提供し、高可用性を確保します。

• アクティブトンネル (IPsec アドレス 1)：すべてのサービストラフィックを伝送します。

• スタンバイトンネル (IPsec アドレス 2)：スタンバイ状態を維持し、アクティブトンネルに障害が発生した場合に自動的に引き継ぎます。

• 固定ロール：アクティブとスタンバイのロールは変更できません。

• ヘルスチェック：システムはアクティブトンネルの接続性を自動的にチェックし、障害が検出されるとフェイルオーバーし、トンネルが回復するとフェイルバックします。

• アベイラビリティーゾーンのディザスタリカバリー：デフォルトでは、2 つのトンネルが異なるゾーンにデプロイされ、クロスゾーンのディザスタリカバリーを提供します。1 つのゾーンのみをサポートするリージョンでは、両方のトンネルが同じゾーンにデプロイされます。これらのデプロイメントはゾーンレベルのディザスタリカバリーをサポートしませんが、リンクの冗長性を提供します。

  レガシー シングル トンネル VPN ゲートウェイは、シングル トンネル IPsec-VPN 接続のみを作成できます。デュアル トンネル モードにアップグレードすることを強く推奨します。

IPsec-VPN 接続の作成

BGP の有効化または無効化

IPsec-VPN 接続で BGP を有効にする前に、関連付けられたカスタマーゲートウェイでオンプレミスネットワークの自律システム番号 (ASN) が設定されていることを確認してください。

以下は、IPsec-VPN 接続の BGP パラメーターです。

• [ローカル ASN]：BGP が有効になった後の Alibaba Cloud 側の ASN です。両方のトンネルで同じ ASN を使用します。デフォルト値：45104。値の範囲：1～4294967295。オンプレミスデバイスの ASN を設定する際は、プライベート ASN を使用することを推奨します。

• [トンネル CIDR ブロック]：BGP ピアリングに使用される相互接続アドレスセグメントです。VPN Gateway 上の各トンネルには、一意の CIDR ブロックが必要です。これは 169.254.0.0/16 内の /30 サブネットである必要があり、169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、または 169.254.169.252/30 にすることはできません。

• [ローカル BGP IP アドレス]：Alibaba Cloud 側の BGP IP アドレスで、トンネル CIDR ブロックに属している必要があります。例えば、CIDR ブロックが 169.254.10.0/30 の場合、169.254.10.1 を使用できます。

BGP 機能のサポート、ルートアドバタイズの原則、および制限事項については、「VPN Gateway の BGP ルーティング」をご参照ください。

トンネルと暗号化

各トンネル設定は 3 つの部分で構成されます。

1. [基本設定]：

   • [カスタマーゲートウェイ]：オンプレミスのゲートウェイデバイスを表すカスタマーゲートウェイを選択します。両方のトンネルを同じカスタマーゲートウェイに関連付けることができます。

   • [事前共有鍵]：ID 認証に使用されるキーです。両方のトンネルのキーは、オンプレミスのゲートウェイデバイスの設定と完全に一致する必要があります。この項目を空のままにすると、システムは自動的にランダムなキーを生成します。

2. [暗号化設定]：

   • 拡張 IPsec-VPN：複数アルゴリズム互換モードをサポートします。システムはデフォルトで複数の暗号化設定を選択し、オンプレミスのゲートウェイデバイスも複数アルゴリズム互換をサポートしている場合、自動的にアルゴリズムをネゴシエートします。

   • 従来型 VPN ゲートウェイ：オンプレミスのゲートウェイデバイスがサポートするアルゴリズムと一致する単一のアルゴリズム設定を指定する必要があります。

   パラメーター		説明
   [IKE 構成]	[バージョン]	IKEv2 を推奨します。IKEv2 は SA ネゴシエーションプロセスを簡素化し、複数の CIDR ブロックを持つシナリオでより優れたサポートを提供します。
   	[ネゴシエーションモード]	main (デフォルト)：メインモード。このモードはネゴシエーション中に ID 情報を暗号化するため、アグレッシブモードよりも安全です。 aggressive：アグレッシブモード。このモードはネゴシエーションが高速で、成功率が高くなります。 ネゴシエーションが成功した後、両方のモードでデータ転送のセキュリティレベルは同じです。
   	[暗号化アルゴリズム]	フェーズ 1 ネゴシエーションで使用される暗号化アルゴリズム。 拡張 IPsec-VPN：AES128、AES128-GCM-16、AES192、AES256、AES256-GCM-16、DES、および 3DES をサポートします。 推奨：より高いパフォーマンスとセキュリティのため、AES128-GCM-16 および AES256-GCM-16。 非推奨：DES、3DES。 従来型 VPN ゲートウェイ： 拡張 IPsec-VPN と比較して、AES128-GCM-16 および AES256-GCM-16 はサポートされていません。 帯域幅が 200 Mbps 以上のインスタンスでは、AES128、AES192、または AES256 暗号化アルゴリズムを使用することを推奨します。3DES 暗号化アルゴリズムの使用は推奨しません。 AES は、ネットワークのレイテンシ、スループット、および転送パフォーマンスへの影響を最小限に抑えながら、高強度の暗号化と復号化を提供する対称キー暗号化アルゴリズムです。 3DES はトリプルデータ暗号化アルゴリズムです。計算負荷が高く、暗号化時間が長くなるため、AES と比較して転送パフォーマンスが低下します。
   	[認証アルゴリズム]	フェーズ 1 ネゴシエーションで使用される認証アルゴリズム。 サポートされるアルゴリズム：sha1 (デフォルト)、md5、sha256、sha384、および sha512。 一部のオンプレミスゲートウェイデバイスで VPN 設定を追加する際、PRF アルゴリズムの指定が必要になる場合があります。PRF アルゴリズムは、IKE フェーズの認証アルゴリズムと同じでなければなりません。
   	[DH グループ (前方秘匿性 PFS)]	フェーズ 1 ネゴシエーションのための Diffie-Hellman 鍵交換アルゴリズム。 disabled：DH 鍵交換アルゴリズムを使用しません。 PFS をサポートしないクライアントには disabled を選択します。 disabled 以外のグループを選択した場合、デフォルトで Perfect Forward Secrecy (PFS) が有効になります。これにより、再ネゴシエーションのたびにキーの更新が必要になるため、対応するクライアントでも PFS を有効にする必要があります。 group1～group24：DH グループの番号が大きいほどセキュリティは高くなりますが、パフォーマンスコストも大きくなります。ピア VPN デバイスがどの DH グループをサポートしているかを確認し、共通してサポートされているグループのリストから ECDH グループ (Group 19, 20, 21) を優先してください。 従来型 VPN ゲートウェイは、group1, group2, group5, group14 のみをサポートします。
   	[SA ライフサイクル (秒)]	フェーズ 1 セキュリティアソシエーション (SA) の生存期間。デフォルト：86400。範囲：0～86400。
   	LocalId	トンネルのローカルエンドの識別子。デフォルトでは、トンネルの IP アドレスが使用されます。 このパラメーターは、IPsec-VPN 接続のネゴシエーション中に Alibaba Cloud 側の識別子としてのみ機能します。IP アドレスまたは完全修飾ドメイン名 (FQDN) を指定でき、スペースを含めることはできません。ローカル識別子としてプライベート IP アドレスを使用することを推奨します。 LocalId に FQDN (例：example.aliyun.com) を使用する場合、オンプレミスゲートウェイデバイスのピア ID は LocalId の値と一致する必要があり、ネゴシエーションモードを aggressive に設定することを推奨します。
   	RemoteId	トンネルのリモートエンドの識別子。デフォルトでは、関連付けられたカスタマーゲートウェイの IP アドレスが使用されます。 このパラメーターは、IPsec-VPN 接続のネゴシエーション中にオンプレミスゲートウェイデバイスの識別子としてのみ機能します。IP アドレスまたは FQDN (完全修飾ドメイン名) を指定でき、スペースを含めることはできません。リモート識別子としてプライベート IP アドレスを使用することを推奨します。 RemoteId に FQDN (例：example.aliyun.com) を使用する場合、オンプレミスゲートウェイデバイスのローカル ID は RemoteId の値と一致する必要があり、ネゴシエーションモードを aggressive に設定することを推奨します。
   [IPsec 構成]	[暗号化アルゴリズム]	フェーズ 2 ネゴシエーションの設定を構成します。説明については、フェーズ 1 の [IKE 構成]の対応するオプションを参照できます。
   	[認証アルゴリズム]
   	[DH グループ (前方秘匿性 PFS)]
   	[SA ライフサイクル (秒)]
   [DPD]		Dead Peer Detection (DPD)。 この機能を常に有効にすることを推奨します (デフォルト)。ピアの障害を迅速に検出し、フェイルオーバーをトリガーするため、高可用性を確保する上で重要です。 DPD が有効になると、IPsec-VPN 接続は DPD パケットを送信してピアデバイスがアクティブであるかを確認します。指定された時間内に有効な応答が受信されない場合、ピアは切断されたと見なされます。システムは ISAKMP SA と対応する IPsec SA を削除し、セキュリティトンネルも削除します。DPD タイムアウト後、IPsec-VPN 接続は自動的にトンネルネゴシエーションを再開します。DPD パケットのタイムアウト期間は 30 秒です。 IKEv2 を使用する一部の既存の VPN Gateway インスタンスでは、DPD のタイムアウト期間が 130 秒または 3600 秒である場合があります。この場合、VPN Gateway インスタンスを最新バージョンにアップグレードできます。
   [NAT トラバーサル]		この機能を有効にしておくことを推奨します (デフォルト)。有効にすると、IKE ネゴシエーションプロセスは UDP ポート番号の検証をスキップし、暗号化された通信チャネル内の NAT ゲートウェイデバイスを検出できます。

3. [BGP 設定]：このオプションは、BGP が有効になった後にのみ利用可能です。詳細については、「BGP の有効化または無効化」をご参照ください。

IPsec-VPN 接続の変更

IPsec-VPN 接続が VPN ゲートウェイインスタンスにすでに関連付けられている場合、関連付けられたインスタンスは変更できません。 IPsec-VPN 接続の ルーティングモード と 今すぐ有効化 の設定のみ変更できます。

IPsec-VPN 接続の削除

課金

• 拡張 IPsec-VPN：IPsec-VPN 接続に対してのみ課金されます。これには、接続料金とインターネットデータ転送料金が含まれます。

• 従来型 VPN ゲートウェイ：IPsec-VPN 接続自体は無料ですが、関連付けられた VPN Gateway インスタンスに対して課金されます。詳細については、IPsec-VPN の課金をご参照ください。

よくある質問