VPN Gateway:H3C ファイアウォールの設定

シングルエグレス + 静的ルーティング

単一のパブリック IP アドレスを持つシングルエグレスシナリオでは、H3C デバイスのシングルエグレスを2つのトンネルインターフェイスにバインドし、インターフェイスに異なる IPsec プロファイルを設定することで、Alibaba Cloud 上のアクティブトンネルとスタンバイ トンネルに接続できます。

手順 1：インターフェイスとネットワークの設定

H3C デバイスのパブリックインターフェイスとプライベートインターフェイスに IP アドレスとセキュリティゾーンを設定し、その後ルートを設定します。

# パブリックインターフェイスを設定します。
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# プライベートインターフェイスを設定します。
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# パブリックインターフェイスとプライベートインターフェイスをそれぞれのセキュリティゾーンに追加します。
security-zone name Untrust
 import interface GigabitEthernet 2/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# 対向 VPN Gateway のパブリック IP (インターネットエグレス) へのルートを設定します。
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.32.0.173
ip route-static 10.0.0.0 8 10.34.0.253
ip route-static 10.0.0.0 8 10.34.0.253

手順 2：トンネルの設定

クラウド上のアクティブトンネルとスタンバイ トンネルに接続するために、2つのトンネルインターフェイスを作成します。

# トンネルインターフェイスを設定し、IPsec をトンネルインターフェイスに適用します。
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit

# トンネルインターフェイスを Untrust セキュリティゾーンに追加します。
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

手順 3：IPsec トランスフォームセットとポリシーの設定

IPsec と IKE を設定します。設定が Alibaba Cloud 側の設定と一致していることを確認してください。

# IPsec トランスフォームセットを設定します
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# IKEv2 プロポーザルと IKE セキュリティポリシーを設定します
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# IKE キーチェーンを設定します。2つのピアは Alibaba Cloud 上の2つのトンネルに対応します。address には Alibaba Cloud 上のパブリック IP アドレスを指定します。
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# IKEv2 プロファイルを設定します。2つのピアは Alibaba Cloud 上の2つのトンネルに対応します。
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# 上記で作成した IKEv2 プロファイルを参照する IPsec プロファイルを設定します。
# SA 期間には時間ベースのモードのみを使用することを推奨します。トラフィックベースのモードを設定する必要がある場合は、トラフィックベースの値を最大に設定してください。
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# トンネルインターフェイスを設定し、IPsec ポリシーをトンネルインターフェイスに適用します。
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.32.0.175
 destination 39.XX.XX.10
 quit

# 対向のプライベート CIDR ブロックへのルートをトンネルインターフェイスに向けるように設定します。tunnel1 はアクティブトンネルであり、より高いルート優先度を持ちます。
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

手順 4：セキュリティポリシーの設定

IKE ネゴシエーションと IPsec データトラフィックを許可するアクセス制御リスト (ACL) を設定します。

# Untrust セキュリティゾーンと他のゾーンとの間で IKE ネゴシエーションパケットと IPsec データパケットを許可する ACL を設定します。この例では、設定は簡略化されています。要件に基づいて、より詳細な ACL を設定できます。
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

手順 5：結果の確認

データセンター側で、データセンターサーバーから H3C デバイスへのルートを設定した後、データセンターと Alibaba Cloud VPC 間のネットワーク接続のテストとフェールオーバーの確認を開始できます。

1. データセンターと VPC 間の接続をテストします： VPC 内の ECS インスタンスにログインし、ping <データセンターサーバーのプライベート IP アドレス> を実行します。データセンターサーバーからの応答パケットを受信できた場合、通信は正常です。

2. IPsec-VPN 接続の高可用性をテストします。

   1. VPC 内の ECS インスタンスにログインし、ping <データセンターサーバーのプライベート IP アドレス> -c 10000 を実行して、データセンターにアクセスパケットを継続的に送信します。

   2. IPsec-VPN 接続のアクティブトンネルを中断します： IPsec-VPN 接続のアクティブトンネルの事前共有キーを変更することで、両端の事前共有キーが不一致となり、アクティブトンネルが中断されます。

   3. アクティブトンネルが中断された後、VPC 内の ECS インスタンスの通信状況を観察します： 短い中断の後にトラフィックが回復した場合、アクティブトンネルの中断後、トラフィックが自動的にスタンバイ トンネルを介して通信することを示しています。

シングルエグレス + BGP ルーティング

単一のパブリック IP アドレスとシングルエグレスのシナリオでは、H3C デバイスのシングルエグレスを2つのトンネルインターフェイスにバインドし、各インターフェイスに異なる IPsec プロファイルを設定することで、H3C デバイスを Alibaba Cloud 上のアクティブトンネルとスタンバイトンネルに接続できます。

手順 1：インターフェイスとネットワークの設定

H3C デバイスのパブリックインターフェイスとプライベートインターフェイスに IP アドレスとセキュリティゾーンを設定し、その後ルートを設定します。

# パブリックインターフェイス
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# プライベートインターフェイス
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# インターフェイスをセキュリティゾーンに追加します
security-zone name Untrust
 import interface GigabitEthernet 2/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# 対向の Alibaba Cloud のパブリック IP アドレスへのルートを設定し、ネクストホップはインターネットを指します
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.32.0.173
# ローカル側の内部 CIDR ブロックへのルートを設定し、ネクストホップはプライベートネットワークを指します
ip route-static 10.0.0.0 8 10.34.0.253

手順 2：トンネルの設定

クラウド上のアクティブトンネルとスタンバイ トンネルに接続するために、2つのトンネルインターフェイスを作成します。

# トンネルインターフェイスを設定し、IPsec セキュリティフレームワークをトンネルインターフェイスに適用します
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit

# トンネルインターフェイスをセキュリティゾーンに追加します
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

手順 3：IPsec トランスフォームセットとポリシーの設定

IPsec と IKE を設定します。設定が Alibaba Cloud 側の設定と一致していることを確認してください。

# IPsec トランスフォームセットを設定します
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# IKEv2 プロポーザルと IKE セキュリティポリシーを設定します
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# IKE キーチェーンを設定します。2つのピアは Alibaba Cloud 上の2つのトンネルに対応し、address は Alibaba Cloud 上のパブリック IP アドレスです。
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# IKEv2 プロファイルを設定します。2つのピアは Alibaba Cloud 上の2つのトンネルに対応します。
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# IPsec プロファイルを設定し、上記で作成した IKEv2 プロファイルを参照します
# 時間ベースの SA 期間のみを使用することを推奨します。トラフィックベースの SA 期間を設定する必要がある場合は、トラフィックベースの値を最大に設定してください。
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# トンネルインターフェイスを設定し、IPsec ポリシーをトンネルインターフェイスに適用します
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.32.0.175
 destination 39.XX.XX.10
 quit

# 対向のプライベート CIDR ブロックへのルートをトンネルインターフェイスに向けるように設定します。tunnel1 はアクティブトンネルであり、より高いルート優先度を持ちます。
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

手順 4：セキュリティポリシーの設定

IKE プロトコルのトラフィックと IPsec データトラフィックの通過を許可するセキュリティポリシーを設定します。

# IKE ネゴシエーションパケットと IPsec データパケットを許可するようにセキュリティゾーンを設定します。ここでの設定は簡略化されています。必要に応じて詳細なルールを追加してください。
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

手順 5：BGP ルーティングの設定

# Alibaba Cloud の VPN Gateway と BGP ピアリングを確立するために、トンネルインターフェイスに IP アドレスを設定します。
interface tunnel 1 mode ipsec
 ip address 169.254.10.2 30
 quit
interface tunnel 2 mode ipsec
 ip address 169.254.20.2 30
 quit

# 静的ルーティングシナリオでトンネルを指す静的ルートを削除します。
undo ip route-static 192.168.0.0 16 Tunnel 1 preference 10
undo ip route-static 192.168.0.0 16 Tunnel 2 preference 20

# BGP ルーティングを設定します。H3C ファイアウォールは 10.0.0.0/8 を Alibaba Cloud の VPN Gateway に広報します。
bgp 65500
peer 169.254.10.1 as-number 65535
peer 169.254.20.1 as-number 65535
address-family ipv4 unicast
peer 169.254.10.1 enable
peer 169.254.20.1 enable
network 10.0.0.0 8  # CIDR ブロック 10.0.0.0/8 を広報します。

設定が完了したら、BGP 接続を表示します：

BGP ルートを表示します：

ルーティングテーブルを表示します：

手順 6：結果の確認

データセンター側で、データセンタークライアントから H3C デバイスへのルートを設定した後、データセンターと Alibaba Cloud VPC 間のネットワーク接続のテストとフェールオーバーの確認を開始できます。

1. ローカルデータセンターと VPC 間の接続をテストします： VPC 内の ECS インスタンスにログインし、ping <ローカルデータセンターサーバーのプライベート IP アドレス> を実行します。ローカルデータセンターサーバーから応答パケットを受信できた場合、通信は正常です。

2. IPsec-VPN 接続の高可用性をテストします。

   1. VPC 内の ECS インスタンスにログインし、ping <ローカルデータセンターサーバーのプライベート IP アドレス> -c 10000 を実行して、ローカルデータセンターにアクセスパケットを継続的に送信します。

   2. IPsec-VPN 接続のプライマリトンネルを中断します： IPsec 接続のプライマリトンネルの事前共有キーを変更すると、両端の事前共有キーが不一致となり、プライマリトンネルが中断されます。

   3. プライマリトンネルを中断した後、VPC 内の ECS インスタンスの通信を観察します： 短い中断の後にトラフィックが再開された場合、プライマリトンネルの中断後、トラフィックが自動的にバックアップトンネルを介して通信することを示しています。

デュアルエグレス + 静的ルーティング

デュアルパブリック IP アドレスとデュアルエグレスのシナリオでは、H3C デバイスの2つのエグレスをそれぞれ2つのトンネルインターフェイスにバインドし、それらに異なる IPsec プロファイルを設定して、Alibaba Cloud 上のアクティブトンネルとスタンバイトンネルに接続できます。

手順 1: インターフェイスとネットワーキングの設定

インターネットに接続するインターフェイスとプライベートインターフェイスにそれぞれ IP アドレスとセキュリティゾーンを設定し、ルートを設定します。

# パブリックインターフェイス 1 を設定します。
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# パブリックインターフェイス 2 を設定します。
interface GigabitEthernet 3/0
 ip addr 10.33.0.238 24
 quit
 
# プライベートインターフェイスを設定します。
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# パブリックインターフェイスとプライベートインターフェイスをそれぞれのセキュリティゾーンに追加します。
security-zone name Untrust
 import interface GigabitEthernet 2/0
 import interface GigabitEthernet 3/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# 対向 VPN Gateway のパブリック IP (インターネット) への 32 ビットルートを設定します。
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.33.0.236
# ローカル内部ネットワークの CIDR ブロックへのルートを設定します。
ip route-static 10.0.0.0 8 10.34.0.253

ステップ 2: トンネル設定

クラウド上のアクティブトンネルとスタンバイ トンネルに接続するために、2つのトンネルインターフェイスを作成します。

# トンネルインターフェイスを設定し、IPsec セキュリティフレームワークをトンネルインターフェイスに適用します
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 quit

# トンネルインターフェイスをセキュリティゾーンに追加します
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

ステップ 3: IPsec トランスフォームセットとポリシー設定

IPsec と IKE の設定を行い、Alibaba Cloud 側と一致していることを確認します。

# IPsec トランスフォームセットを設定します
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# IKEv2 プロポーザルと IKE セキュリティポリシーを設定します
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# IKE キーチェーンを設定します。2つのピアは Alibaba Cloud 上の2つのトンネルに対応し、address は Alibaba Cloud 上のパブリック IP アドレスです
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# IKEv2 プロファイルを設定します。2つのピアは Alibaba Cloud 上の2つのトンネルに対応します
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 116.XX.XX.68
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# IPsec プロファイルを設定し、上記で作成した IKEv2 プロファイルを参照します
# 時間ベースの SA 期間のみを使用することを推奨します。トラフィックベースの値を設定する必要がある場合は、トラフィックベースの値を最大に設定してください
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# トンネルインターフェイスを設定し、IPsec ポリシーをトンネルインターフェイスに適用します
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.33.0.238
 destination 39.XX.XX.10
 quit

# 対向のプライベート CIDR ブロックへのルートをトンネルインターフェイスに向けるように設定します。tunnel1 はアクティブトンネルであり、より高いルート優先度を持ちます
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

ステップ 4: セキュリティポリシーの設定

IKE プロトコルのトラフィックと IPsec データトラフィックの通過を許可するセキュリティポリシーを設定します。

# IKE ネゴシエーションパケットと IPsec データパケットを許可するようにセキュリティゾーンを設定します。ここでの設定は簡略化されています。詳細なルールが必要な場合は、必要に応じて追加してください。
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

ステップ 5：結果の確認

データセンター側で、データセンタークライアントから H3C デバイスへのルートを設定した後、データセンターと Alibaba Cloud VPC 間のネットワーク接続のテストとフェールオーバーの確認を開始できます。

1. ローカルデータセンターと VPC 間の接続をテストします： VPC 内の ECS インスタンスにログインし、ping <ローカルデータセンターサーバーのプライベート IP アドレス> を実行します。ローカルデータセンターサーバーから応答パケットを受信できた場合、通信は正常です。

2. IPsec-VPN 接続の高可用性をテストします。

   1. VPC 内の ECS インスタンスにログインし、ping <ローカルデータセンターサーバーのプライベート IP アドレス> -c 10000 を実行して、ローカルデータセンターにアクセスパケットを継続的に送信します。

   2. IPsec-VPN 接続のプライマリトンネルを中断します： IPsec 接続のプライマリトンネルの事前共有キーを変更すると、両端の事前共有キーが不一致となり、プライマリトンネルが中断されます。

   3. プライマリトンネルを中断した後、VPC 内の ECS インスタンスの通信を観察します： 短い中断の後にトラフィックが再開された場合、プライマリトンネルの中断後、トラフィックが自動的にバックアップトンネルを介して通信することを示しています。

デュアルエグレス + BGP ルーティング

デュアルパブリック IP とデュアルエグレスのシナリオでは、H3C デバイスの2つのエグレスをそれぞれ2つのトンネルインターフェイスにバインドし、それらに異なる IPsec プロファイルを設定して、Alibaba Cloud 上のアクティブトンネルとスタンバイトンネルに接続できます。

手順 1: インターフェイスとネットワークの設定

パブリックインターフェイスとプライベートインターフェイスにそれぞれ IP アドレスとセキュリティゾーンを設定し、ルートを設定します。

# パブリックインターフェイス 1 を設定します。
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# パブリックインターフェイス 2 を設定します。
interface GigabitEthernet 3/0
 ip addr 10.33.0.238 24
 quit
 
# プライベートインターフェイスを設定します。
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# パブリックインターフェイスとプライベートインターフェイスをそれぞれのセキュリティゾーンに追加します。
security-zone name Untrust
 import interface GigabitEthernet 2/0
 import interface GigabitEthernet 3/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# 対向 VPN Gateway のパブリック IP (インターネット) への 32 ビットルートを設定します。
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.33.0.236
# ローカル内部ネットワークの CIDR ブロックへのルートを設定します。
ip route-static 10.0.0.0 8 10.34.0.253

ステップ 2: トンネル設定

クラウド上のアクティブトンネルとスタンバイ トンネルに接続するために、2つのトンネルインターフェイスを作成します。

# トンネルインターフェイスを設定し、IPsec をトンネルインターフェイスに適用します。
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 quit

# トンネルインターフェイスを Untrust セキュリティゾーンに追加します。
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

ステップ 3: IPsec トランスフォームセットとポリシーの設定

IPsec と IKE を設定し、設定が Alibaba Cloud 側と一致していることを確認します。

# IPsec トランスフォームセットを設定します
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# IKEv2 プロポーザルと IKE セキュリティポリシーを設定します
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# IKE キーチェーンを設定します。2つのピアはそれぞれ Alibaba Cloud 上の2つのトンネルに対応し、アドレスは Alibaba Cloud 上のパブリック IP アドレスです
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# IKEv2 プロファイルを設定します。2つのピアはそれぞれ Alibaba Cloud 上の2つのトンネルに対応します
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 116.XX.XX.68
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# IPsec プロファイルを設定し、上記で作成した IKEv2 プロファイルを参照します
# 時間ベースの SA 期間のみを使用することを推奨します。トラフィックベースの期間を設定する必要がある場合は、トラフィックベースの値を最大に設定してください
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# トンネルインターフェイスを設定し、IPsec ポリシーをトンネルインターフェイスに適用します
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.33.0.238
 destination 39.XX.XX.10
 quit

# 対向のイントラネット CIDR ブロックへのルートをトンネルインターフェイスに向けるように設定します。Tunnel1 はアクティブトンネルであり、より高いルート優先度を持ちます
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

手順 4：セキュリティポリシーの設定

IKE プロトコルのトラフィックと IPsec データトラフィックの通過を許可するセキュリティポリシーを設定します。

# IKE ネゴシエーションパケットと IPsec データパケットを許可するようにセキュリティゾーンを設定します。ここでの設定は簡略化されています。必要に応じて詳細なルールを追加してください
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

ステップ 5：BGP 動的ルーティング設定

# Alibaba Cloud の VPN Gateway と BGP ピアリングを確立するために、トンネルインターフェイスに IP アドレスを設定します。
interface tunnel 1 mode ipsec
 ip address 169.254.10.2 30
 quit
interface tunnel 2 mode ipsec
 ip address 169.254.20.2 30
 quit

# 静的ルーティングシナリオでトンネルを指す静的ルートを削除します。
undo ip route-static 192.168.0.0 16 Tunnel 1 preference 10
undo ip route-static 192.168.0.0 16 Tunnel 2 preference 20

# BGP ルーティングを設定します。H3C ファイアウォールは 10.0.0.0/8 を Alibaba Cloud の VPN Gateway に広報します。
bgp 65500
peer 169.254.10.1 as-number 65535
peer 169.254.20.1 as-number 65535
address-family ipv4 unicast
peer 169.254.10.1 enable
peer 169.254.20.1 enable
network 10.0.0.0 8  # CIDR ブロック 10.0.0.0/8 を広報します。

設定が完了したら、BGP 接続を表示します：

BGP ルーティングを確認します。

ルーティングテーブルを確認します。

手順 6：結果の確認

データセンター側で、データセンタークライアントから H3C デバイスへのルートを設定した後、データセンターと Alibaba Cloud VPC 間のネットワーク接続のテストとフェールオーバーの確認を開始できます。

1. ローカルデータセンターと VPC 間の接続をテストします： VPC 内の ECS インスタンスにログインし、ping <ローカルデータセンターサーバーのプライベート IP アドレス> を実行します。ローカルデータセンターサーバーから応答パケットを受信できた場合、通信は正常です。

2. IPsec-VPN 接続の高可用性をテストします。

   1. VPC 内の ECS インスタンスにログインし、ping <ローカルデータセンターサーバーのプライベート IP アドレス> -c 10000 を実行して、ローカルデータセンターにアクセスパケットを継続的に送信します。

   2. IPsec-VPN 接続のプライマリトンネルを中断します： IPsec 接続のプライマリトンネルの事前共有キーを変更すると、両端の事前共有キーが不一致となり、プライマリトンネルが中断されます。

   3. プライマリトンネルを中断した後、VPC 内の ECS インスタンスの通信を観察します： 短い中断の後にトラフィックが再開された場合、プライマリトンネルの中断後、トラフィックが自動的にバックアップトンネルを介して通信することを示しています。