VPN Gateway:IPsec 接続 (VPN Gateway)

仕組み

Alibaba Cloud の IPsec 接続は、デフォルトで デュアルトンネルモード (プライマリトンネル + バックアップトンネル) を使用し、リンク冗長性と高可用性を提供します。

• プライマリトンネル (IPsec アドレス 1)：すべてのサービストラフィックを伝送します。

• バックアップトンネル (IPsec アドレス 2)：スタンバイ状態です。プライマリトンネルに障害が発生すると、自動的に引き継ぎます。

• 固定ロール：プライマリとバックアップのロールは変更できません。

• ヘルスチェック：システムはプライマリトンネルの接続性を自動的に検出し、障害発生時に自動的に切り替え、復旧後に自動的に切り戻します。

• ゾーンレベルのディザスタリカバリー：2 つのトンネルはデフォルトで異なるアベイラビリティーゾーンにデプロイされており、ゾーン間のディザスタリカバリーを提供します。1 つのアベイラビリティーゾーンのみをサポートするリージョンでは、2 つのトンネルは同じアベイラビリティーゾーンにデプロイされるため、ゾーンレベルのディザスタリカバリーはサポートされませんが、リンク冗長性は引き続き提供されます。

  既存のシングルトンネル VPN ゲートウェイは、シングルトンネルモードでのみ IPsec 接続を作成できます。できるだけ早くデュアルトンネルモードへのアップグレードを実施してください。

IPsec-VPN 接続の作成

BGPの有効化または無効化

IPsec 接続で BGP を有効にする前に、関連付けられたカスタマーゲートウェイインスタンスにオンプレミスネットワークの自律システム番号 (ASN) が設定されていることを確認してください。

IPsec 接続に関連する BGP 設定項目：

• [ローカル ASN]: BGP が有効になった後の Alibaba Cloud 側の ASN です。 両方のトンネルで同じ ASN を使用します。 デフォルト値: 45104。 有効な値: 1～4294967295。 オンプレミスデバイスで ASN を設定する場合、プライベート ASN を使用することを推奨します。

• [トンネル CIDR ブロック]：BGP ネイバー接続を確立するために使用される相互接続 CIDR ブロックです。 VPN ゲートウェイインスタンスでは、各トンネルの CIDR ブロックは一意である必要があります。 169.254.0.0/16 範囲内の /30 サブネットである必要があります。ただし、169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、または 169.254.169.252/30 は使用できません。

• [ローカル BGP IP アドレス]：Alibaba Cloud 側の BGP IP で、トンネル CIDR ブロックに属している必要があります。たとえば、169.254.10.0/30 CIDR ブロックでは、169.254.10.1 を使用できます。

BGP ルーティングのサポート、ルート広報ルール、および使用制限については、BGP 動的ルーティングの設定をご参照ください。

トンネルと暗号化

IPsec 接続を作成または編集する際は、トンネル関連のパラメーターを設定する必要があります。これらのパラメーターは次の 3 つに分かれています：

1. [基本設定]：

   • [カスタマーゲートウェイ]：オンプレミスゲートウェイデバイスを表すカスタマーゲートウェイインスタンスを選択します。両方のトンネルを同じカスタマーゲートウェイに関連付けることもできます。

     ドロップダウンリストが空の場合、または作成したカスタマーゲートウェイインスタンスが見つからない場合は、次の 2 点を確認してください：VPN Gateway、IPsec 接続、[カスタマーゲートウェイ] は同じ リージョン にある必要があります。また、そのリージョンでカスタマーゲートウェイインスタンスが正常に作成されている必要があります。[カスタマーゲートウェイ] のドロップダウンリストは、現在選択されている リージョン でフィルタリングされ、同一リージョンのカスタマーゲートウェイインスタンスのみが表示されます。リージョン を切り替えると、カスタマーゲートウェイの選択がクリアされるため、再度選択する必要があります。

   • [事前共有キー]：ID 認証に使用する事前共有キーです。両方のトンネルのキーは、オンプレミスゲートウェイデバイスの設定と一致している必要があります。空のままにすると、システムがランダムなキーを生成します。

2. [暗号化設定]：

   • 拡張 VPN：マルチアルゴリズム互換モードをサポートします。デフォルトで複数の暗号化アルゴリズムが選択されており、マルチアルゴリズム互換をサポートするオンプレミスゲートウェイデバイスと自動的にアルゴリズムをネゴシエーションします。

   • 標準 VPN：アルゴリズム設定を個別に指定する必要があり、オンプレミスゲートウェイデバイスがサポートするアルゴリズムと一致している必要があります。

   パラメーター		説明
   [IKE 設定]	[バージョン]	ikev2 の使用を推奨します。IKEv2 は SA のネゴシエーションプロセスを簡素化し、複数 CIDR ブロックのシナリオにより適切に対応します。
   	[ネゴシエーションモード]	main (デフォルト)：メインモード。このモードでは、伝送中に ID 情報が暗号化され、ネゴシエーションプロセスはアグレッシブモードより安全です。 aggressive：アグレッシブモード。ネゴシエーションが高速で、成功率が高いです。 ネゴシエーションが成功した後は、どちらのモードでも情報伝送において同等のセキュリティレベルが提供されます。
   	[暗号化アルゴリズム]	フェーズ 1 のネゴシエーションで使用する暗号化アルゴリズムです。 拡張 VPN：AES128、AES128-GCM-16、AES192、AES256、AES256-GCM-16、DES、および 3DES をサポートします。 推奨：AES128-GCM-16 と AES256-GCM-16。パフォーマンスが高く、より安全です。 非推奨：DES、3DES。 標準 VPN： 拡張 VPN と比較すると、AES128-GCM-16 と AES256-GCM-16 はサポートされません。 インスタンス帯域幅が 200 Mbps 以上の場合は、AES128、AES192、または AES256 の暗号化アルゴリズムを使用することを推奨します。3des 暗号化アルゴリズムの使用は推奨しません。 AES は共通鍵暗号方式であり、高強度の暗号化と復号が可能です。ネットワーク遅延、スループット、および転送パフォーマンスへの影響を最小限に抑え、安全なデータ伝送を確保します。 3DES は Triple Data Encryption Algorithm です。暗号化に時間がかかり、アルゴリズムが複雑で、計算負荷が高いため、AES と比べて転送パフォーマンスが低下します。
   	[認証アルゴリズム]	フェーズ 1 のネゴシエーションで使用する認証アルゴリズムです。 sha1 (デフォルト)、md5、sha256、sha384、および sha512 をサポートします。 一部のオンプレミスゲートウェイデバイスで VPN 設定を追加する際に、PRF アルゴリズムの指定が必要となる場合があります。PRF アルゴリズムは IKE フェーズの認証アルゴリズムと一致させてください。
   	[DH グループ (完全前方秘匿性)]	フェーズ 1 のネゴシエーションに使用する Diffie-Hellman 鍵交換アルゴリズムを選択します。 disabled：DH 鍵交換アルゴリズムを使用しないことを示します。 PFS をサポートしないクライアントの場合は、disabled を選択します。 disabled 以外のグループを選択すると、PFS (完全前方秘匿性) はデフォルトで有効になります。これは、再ネゴシエーションのたびにキーが更新されることを意味します。そのため、クライアント側でも PFS を有効にする必要があります。 group1～group24：DH グループ番号が大きいほどセキュリティは高くなりますが、パフォーマンスのオーバーヘッドも増加します。VPN ピアがどの DH グループをサポートしているかを確認した上で、一般的にサポートされている ECDH グループ (Group 19、20、21) から選択することを推奨します。 標準 VPN は group1、group2、group5、group14 のみをサポートします。
   	[SA ライフサイクル (秒)]	フェーズ 1 でネゴシエーションされる SA (セキュリティアソシエーション) の有効期間を設定します。デフォルト値：86400。有効な値：0～86400。 クラウド側の有効期間設定は、オンプレミス側の設定と一致している必要があります。
   	ローカル ID	トンネルのローカル側の識別子です。デフォルトでは、トンネルの IP アドレスがローカル識別子として使用されます。 このパラメーターは、IPsec-VPN 接続のネゴシエーション中に Alibaba Cloud を識別するためにのみ使用され、他の用途はありません。IP アドレス形式または FQDN (Fully Qualified Domain Name) 形式に対応し、スペースを含めることはできません。トンネルのローカル識別子には、プライベート IP アドレスを使用することを推奨します。 ローカル ID に FQDN 形式 (例：example.aliyun.com) を使用する場合、オンプレミスゲートウェイデバイス上の IPsec 接続のピア ID はローカル ID の値と一致している必要があり、ネゴシエーションモードはアグレッシブにする必要があります。
   	リモート ID	トンネルのピア側の識別子です。デフォルトでは、トンネルに関連付けられているカスタマーゲートウェイの IP アドレスがピア識別子として使用されます。 このパラメーターは、IPsec-VPN 接続のネゴシエーション中にオンプレミスゲートウェイデバイスを識別するためにのみ使用され、他の用途はありません。IP アドレス形式または FQDN (Fully Qualified Domain Name) 形式に対応し、スペースを含めることはできません。トンネルのピア識別子には、プライベート IP アドレスを使用することを推奨します。 リモート ID に FQDN 形式 (例：example.aliyun.com) を使用する場合、オンプレミスゲートウェイデバイス上の IPsec 接続のローカル ID はリモート ID の値と一致している必要があり、ネゴシエーションモードはアグレッシブにする必要があります。
   [IPsec 設定]	[暗号化アルゴリズム]	フェーズ 2 のネゴシエーション設定を行います。フェーズ 1 の [IKE 設定] にある各オプションの説明を参照してください。
   	[認証アルゴリズム]
   	[DH グループ (完全前方秘匿性)]
   	[SA ライフサイクル (秒)]
   [DPD]		ピアの生存検知機能です。デフォルトで有効にすることを推奨します。ピアの障害をタイムリーに検知して切り替えをトリガーできるため、高可用性の要となります。 DPD を有効にすると、IPsec 接続は DPD パケットを送信して、ピアデバイスが稼働しているかどうかを検知します。指定された時間内に正しい応答が受信されない場合、ピアはオフラインと見なされます。IPsec 接続は ISAKMP SA と対応する IPsec SA を削除し、セキュアトンネルも削除されます。DPD タイムアウト後、IPsec 接続は IPsec-VPN トンネルのネゴシエーションを自動的に再開します。DPD パケットのタイムアウトは 30 秒です。 IPsec 接続で IKEv2 を使用する場合、一部の既存の VPN Gateway インスタンスでは、DPD タイムアウトが 130 秒または 3600 秒になることがあります。この場合は、VPN Gateway インスタンスを最新バージョンに アップグレードできます。
   [NAT トラバーサル]		デフォルトで有効にすることを推奨します。有効にすると、IKE のネゴシエーションプロセスで UDP ポート番号の検証がスキップされ、暗号化通信チャネル内の NAT ゲートウェイデバイスを検出できます。

3. [BGP 設定]：このオプションは、BGP を有効にした後にのみ使用できます。詳細については、「BGP の有効化または無効化」をご参照ください。

IPsec-VPN 接続の変更

IPsec 接続が VPN ゲートウェイインスタンスにすでに関連付けられている場合、その VPN ゲートウェイインスタンスは変更できません。変更できるのは、IPsec 接続の [ルーティングモード] および [すぐに有効] の設定のみです。[すぐに有効] オプションは、新しい設定が有効になるタイミングを制御します。

• [はい]：システムは直ちに IKE 再ネゴシエーションをトリガーし、新しい設定でトンネルを再構築するため、トラフィックが短時間中断されます。この操作はオフピーク時間に実行することを推奨します。

• [いいえ]：新しい設定は直ちに適用されません。代わりに、次の SA ライフサイクル再ネゴシエーション中に自動的に有効になります。

宛先ルートモードを使用する場合、相互接続 CIDR ブロックの追加または削除は、ルート設定の調整のみで済みます。IPsec 接続自体を変更する必要はなく、IPsec-VPN 接続は中断されません。

IPsec-VPN 接続の削除

請求

• エンハンスト VPN：IPsec 接続のみが課金対象です。接続料金 + パブリックネットワークトラフィック料金が課金されます。

• スタンダード VPN：IPsec 接続自体は課金されませんが、関連付けられたVPN ゲートウェイ インスタンスには料金が発生します。詳細については、「IPsec-VPN の請求」をご参照ください。

よくある質問