VPN Gateway:CreateVpnConnection

IPsec-VPN 接続のリージョン ID。 DescribeRegions 操作を呼び出して、最新のリージョンリストをクエリできます。

リクエストのべき等性を確保するために使用されるクライアントトークン。

クライアントを使用してトークンを生成できますが、異なるリクエスト間でトークンが一意であることを確認する必要があります。クライアントトークンには ASCII 文字のみを使用できます。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされ、必須です。

カスタマーゲートウェイの ID。

VPN ゲートウェイのインスタンス ID。

IPsec-VPN 接続の名前。

名前は 1～100 文字で、http:// または https:// で始まることはできません。

オンプレミスデータセンターと通信する必要がある VPC 側の CIDR ブロック。この CIDR ブロックは位相 2 ネゴシエーションで使用されます。

複数の CIDR ブロックはカンマ (,) で区切ります。例: 192.168.1.0/24,192.168.2.0/24。

IPsec-VPN 接続では、以下のルーティングモードがサポートされています。

• LocalSubnet と RemoteSubnet の両方が 0.0.0.0/0 にセットされている場合、送信先ルーティングモードが使用されます。

• LocalSubnet と RemoteSubnet の両方が特定の CIDR ブロックにセットされている場合、保護データフローモードが使用されます。

VPC と通信する必要があるオンプレミスデータセンター側の CIDR ブロック。この CIDR ブロックは位相 2 ネゴシエーションで使用されます。

複数の CIDR ブロックはカンマ (,) で区切ります。例: 192.168.3.0/24,192.168.4.0/24。

IPsec-VPN 接続では、以下のルーティングモードがサポートされています。

• LocalSubnet と RemoteSubnet の両方が 0.0.0.0/0 にセットされている場合、送信先ルーティングモードが使用されます。

• LocalSubnet と RemoteSubnet の両方が特定の CIDR ブロックにセットされている場合、保護データフローモードが使用されます。

IPsec-VPN 接続設定がすぐに効果を発揮するかどうかを指定します。有効な値:

• true: 設定完了後、システムは直ちに IPsec プロトコルネゴシエーションを開始します。

• false (デフォルト): システムはインバウンドトラフィックが検出された場合にのみ IPsec プロトコルネゴシエーションを開始します。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

位相 1 ネゴシエーション構成:

• IkeConfig.Psk: VPN ゲートウェイとオンプレミスデータセンター間の身分認証に使用される事前共有鍵。

  • キーは 1～100 文字で、数字、大文字、小文字、および以下の文字を含めることができます。スペースを含めることはできません。~!\`@#$%^&*()_-+={}[]|;:',.<>/?

  • 事前共有鍵を指定しない場合、システムはランダムな文字列を事前共有鍵として生成します。 DescribeVpnConnection 操作を呼び出して、システムによって自動的に生成された事前共有鍵をクエリできます。

    説明

    IPsec-VPN 接続側の事前共有鍵は、オンプレミスデータセンター側の認証キーと同じである必要があります。そうでない場合、オンプレミスデータセンターと VPN ゲートウェイ間の接続を確立できません。

• IkeConfig.IkeVersion: IKE プロトコルのバージョン。有効な値: ikev1 および ikev2。デフォルト値: ikev1。

  IKEv1 と比較して、IKEv2 は SA ネゴシエーションプロセスを簡素化し、マルチ CIDR ブロックシナリオをより適切にサポートします。

• IkeConfig.IkeMode: IKE バージョンのネゴシエーションモード。有効な値: main および aggressive。デフォルト値: main。

  • main: メインモード。ネゴシエーションプロセスのセキュリティが高くなります。

  • aggressive: アグレッシブモード。ネゴシエーションが高速で、成功率が高くなります。

• IkeConfig.IkeEncAlg: 位相 1 ネゴシエーションで使用される暗号化アルゴリズム。

  有効な値: aes、aes192、aes256、des、および 3des。デフォルト値: aes。

• IkeConfig.IkeAuthAlg: 位相 1 ネゴシエーションで使用される認証アルゴリズム。

  有効な値: md5、sha1、sha256、sha384、および sha512。デフォルト値: md5。

• IkeConfig.IkePfs: 位相 1 ネゴシエーションで使用される Diffie-Hellman キー交換アルゴリズム。有効な値: group1、group2、group5、および group14。デフォルト値: group2。

• IkeConfig.IkeLifetime: 位相 1 でネゴシエートされる SA のライフタイム。単位: 秒。有効な値: 0 ～ 86400。デフォルト値: 86400。

• IkeConfig.LocalId: VPN ゲートウェイの識別子。識別子は最大 100 文字で、スペースを含めることはできません。デフォルト値は VPN ゲートウェイの IP アドレスです。

• IkeConfig.RemoteId: カスタマーゲートウェイの識別子。識別子は最大 100 文字で、スペースを含めることはできません。デフォルト値はカスタマーゲートウェイの IP アドレスです。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

位相 2 ネゴシエーション構成:

• IpsecConfig.IpsecEncAlg: 位相 2 ネゴシエーションで使用される暗号化アルゴリズム。

  有効な値: aes、aes192、aes256、des、および 3des。デフォルト値: aes。

• IpsecConfig. IpsecAuthAlg: 位相 2 ネゴシエーションで使用される認証アルゴリズム。

  有効な値: md5、sha1、sha256、sha384、および sha512。デフォルト値: md5。

• IpsecConfig. IpsecPfs: 位相 2 ネゴシエーションで使用される Diffie-Hellman キー交換アルゴリズム。有効な値: disabled、group1、group2、group5、および group14。デフォルト値: group2。

• IpsecConfig. IpsecLifetime: 位相 2 でネゴシエートされる SA のライフタイム。単位: 秒。有効な値: 0 ～ 86400。デフォルト値: 86400。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

ヘルスチェック構成:

• HealthCheckConfig.enable: ヘルスチェックを有効にするかどうかを指定します。有効な値: true および false (デフォルト)。

• HealthCheckConfig.dip: ヘルスチェックの送信先 IP アドレス。

• HealthCheckConfig.sip: ヘルスチェックのソース IP アドレス。

• HealthCheckConfig.interval: ヘルスチェックの再試行間隔。単位: 秒。デフォルト値: 3。

• HealthCheckConfig.retry: ヘルスチェックのリトライ回数。デフォルト値: 3。

ルートを自動設定するかどうかを指定します。有効な値:

• true (デフォルト): ルートは自動的に設定されます。

• false: ルートは自動的に設定されません。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

Dead Peer Detection (DPD) 特徴を有効にするかどうかを指定します。有効な値:

• true (デフォルト): DPD が有効です。IPsec イニシエーターは DPD パケットを送信して、ピアデバイスが稼働中かどうかを確認します。指定時間内に正しい応答を受信しない場合、ピアは切断されたと見なされます。ISAKMP SA と対応する IPsec SA が削除され、セキュリティトンネルも削除されます。

• false: DPD が無効です。IPsec イニシエーターは DPD パケットを送信しません。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

NAT 越えを有効にするかどうかを指定します。有効な値:

• true (デフォルト): NAT 越えが有効です。NAT 越えを有効にすると、IKE ネゴシエーションプロセスで UDP ポート番号の検証が省略され、VPN トンネル内の NAT ゲートウェイデバイスを検出できます。

• false: NAT 越えが無効です。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

BGP 構成:

• BgpConfig.EnableBgp: BGP 特徴を有効にするかどうかを指定します。有効な値: true および false (デフォルト)。

• BgpConfig.LocalAsn: Alibaba Cloud 側の自律システム番号。有効な値: 1 ～ 4294967295。デフォルト値: 45104。

  ASN を 2 セグメント表記で入力できます。フォーマットは「最初の 16 ビット.最後の 16 ビット」です。各セグメントを 10 進数形式で入力します。

  たとえば、123.456 と入力した場合、ASN は 123 × 65536 + 456 = 8061384 となります。

• BgpConfig.TunnelCidr: IPsec トンネルの CIDR ブロック。CIDR ブロックは 169.254.0.0/16 内のプレフィックス長 30 である必要があり、169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30、または 169.254.169.252/30 は使用できません。

  説明

  VPN ゲートウェイインスタンス配下の各 IPsec-VPN 接続の IPsec トンネル CIDR ブロックは一意である必要があります。

• LocalBgpIp: Alibaba Cloud 側の BGP アドレス。このアドレスは IPsec トンネル CIDR ブロック内の IP アドレスです。

このパラメーターは、シングルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

現在の VPN ゲートウェイインスタンスが中国 SM ベースの VPN ゲートウェイである場合、ピア CA 証明書を設定する必要があります。

• 中国 SM ベースの VPN ゲートウェイの場合、IPsec-VPN 接続を作成する際にこのパラメーターは必須です。

• 標準の VPN ゲートウェイの場合、このパラメーターは空のままにしておく必要があります。

このパラメーターは、デュアルトンネルモードで IPsec-VPN 接続を作成する場合にサポートされます。

トンネルの BGP を有効にするかどうかを指定します。有効な値: true および false (デフォルト)。

実際のリクエストを実行せずにドライランを実行するかどうかを指定します。有効な値:

• true: ドライランのみを実行します。システムは、パラメーター値の欠落、リクエスト構文の誤り、サービスの制限など、リクエストに潜在的な問題がないかを確認します。ドライランに失敗した場合、エラーコードが返されます。ドライランに成功した場合、DryRunOperation エラーコードが返されます。

• false (デフォルト): ドライランを実行し、実際のリクエストを実行します。ドライランに成功した場合、IPsec-VPN 接続が作成されます。