VPN Gateway:Enhanced VPN Gateway クイックスタート

リソース計画

• クラウドリソース：マレーシア (クアラルンプール) リージョンに、CIDR ブロック 10.0.0.0/16 の VPC。

  • vSwitch 1：アベイラビリティーゾーン A に配置され、CIDR ブロックは 10.0.0.0/24。

  • vSwitch 2：アベイラビリティーゾーン B に配置され、CIDR ブロックは 10.0.1.0/24。

  • ECS インスタンス：vSwitch 1 にデプロイされ、IP アドレスは 10.0.0.1。

  • VPN Gateway：IPsec 接続を 1 つ作成します。システムは、この接続に 2 つのパブリック IP アドレスを自動的に割り当てます。

    • IPsec アドレス 1 (プライマリトンネル用)：XX.XX.1.1

    • IPsec アドレス 2 (セカンダリトンネル用)：XX.XX.2.2

• オンプレミスリソース：CIDR ブロック 172.16.0.0/16 のオンプレミス IDC。

  • strongSwan デバイス：プライベート IP アドレス 172.16.0.1。

  • パブリック出口 IP アドレス：XX.XX.3.3

• 暗号化設定：クラウド側とオンプレミス側で一致している必要があります。

  • IKE バージョン：v2

  • ネゴシエーションモード：main

  • 暗号化アルゴリズム：AES-256-GCM-16 / SHA-256 / DH Group 14。オンプレミス側で明示的に指定する必要があります。クラウド側の Enhanced VPN Gateway は自動的にサポートします。

  • SA ライフタイム：86400 秒。

• ルーティング方式：ポリシーベースモードで静的ルーティングを使用します。このモードでは、両端のネットワークを定義して、「対象トラフィック」と呼ばれる、VPN トンネルを通過するトラフィックを指定します。システムは、このトラフィックを自動的にルーティングし、必要なルートを作成します。

前提条件

• VPC の CIDR ブロックとオンプレミス IDC の CIDR ブロックが重複していないこと。

• リソース計画セクションで説明されているように、「VPC を作成」済みであること。VPC には、異なるアベイラビリティーゾーンに 2 つの vSwitch と、接続をテストするための ECS インスタンスが少なくとも 1 つ含まれています。

• オンプレミス IDC に Linux サーバーがデプロイされていること。本トピックでは、CentOS Stream 9 を例として使用します。サーバーには、パブリック出口 IP アドレスが 1 つあります。このサーバーに strongSwan をインストールして、オンプレミスゲートウェイとして機能させます。

1. ファイアウォールルールの設定

strongSwan デバイスで、ESP プロトコル (IP プロトコル番号 50)、UDP ポート 500、UDP ポート 4500 を許可して、クラウド側の 2 つの IPsec アドレスからのアクセスを許可します。

次のコマンドは、iptables を例として使用しています。使用しているファイアウォールツールに基づいてコマンドを変更してください。

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT                
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. IP フォワーディングの有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. strongSwan のインストール

dnf install epel-release -y
dnf install strongswan -y

4. strongSwan の設定

1. 元の設定ファイルをバックアップします。

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します。

   vi /etc/strongswan/swanctl/swanctl.conf

3. 次の設定を追加して、ファイルを保存します。プレースホルダー値を実際の値に置き換えてください。

   # strongSwan デュアルトンネル IPsec 接続設定：Alibaba Cloud Enhanced VPN Gateway + オンプレミスのパブリック出口 IP 1 つ + ポリシーベースモード
   #
   # 注意：「MODIFY」とマークされたパラメータのみを変更してください。残りはデフォルトのままにしてください。
   # アルゴリズムの詳細：aes256gcm16-sha256-modp2048 = AES-256-GCM-16 / SHA-256 / DH Group 14
   # 高可用性：vco1 (priority=1) がプライマリトンネル、vco2 (priority=2) がセカンダリトンネル。フェールオーバーは自動です。
   connections {
      # === トンネル 1 (プライマリ) ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # MODIFY：strongSwan サーバーのネットワークインターフェースのプライベート IP アドレス。サーバーが NAT デバイスの背後にある場合は、プライベート IP アドレスを入力します。サーバーのネットワークインターフェースにパブリック IP アドレスが直接割り当てられている場合は、パブリック IP アドレスを入力します。
         local {
            auth = psk
            id = XX.XX.3.3                        # MODIFY：オンプレミスゲートウェイのパブリック出口 IP アドレス。
         }
         remote_addrs = XX.XX.1.1                 # MODIFY：Alibaba Cloud トンネル 1 のパブリック IP アドレス。
         remote {
            auth = psk
            id = XX.XX.1.1                        # MODIFY：Alibaba Cloud トンネル 1 のパブリック IP アドレス。remote_addrs と一致する必要があります。
         }
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # MODIFY：オンプレミスネットワークの CIDR ブロック (対象トラフィック)。
               remote_ts = 10.0.0.0/16            # MODIFY：VPC の CIDR ブロック (対象トラフィック)。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 1                       # プライマリトンネルを指定します。このパラメータは変更しないことを推奨します。
            }
         }
      }
      # === トンネル 2 (セカンダリ) ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # MODIFY：strongSwan サーバーのネットワークインターフェースの IP アドレス。トンネル 1 の local_addrs と同じである必要があります。
         local {
            auth = psk
            id = XX.XX.3.3                        # MODIFY：オンプレミスゲートウェイのパブリック出口 IP アドレス。トンネル 1 の id と同じである必要があります。
         }
         remote_addrs = XX.XX.2.2                 # MODIFY：Alibaba Cloud トンネル 2 のパブリック IP アドレス。
         remote {
            auth = psk
            id = XX.XX.2.2                        # MODIFY：Alibaba Cloud トンネル 2 のパブリック IP アドレス。remote_addrs と一致する必要があります。
         }
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # MODIFY：オンプレミスネットワークの CIDR ブロック。トンネル 1 の local_ts と同じである必要があります。
               remote_ts = 10.0.0.0/16            # MODIFY：VPC の CIDR ブロック。トンネル 1 の remote_ts と同じである必要があります。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 2                       # セカンダリトンネルを指定します。このパラメータは変更しないことを推奨します。
            }
         }
      }
   }
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # MODIFY：Alibaba Cloud トンネル 1 のパブリック IP アドレス。
         secret = your-psk-here                   # MODIFY：トンネル 1 の事前共有キー。Alibaba Cloud コンソールで設定したキーと一致する必要があります。
      }
      ike-vco2 {
         id = XX.XX.2.2                           # MODIFY：Alibaba Cloud トンネル 2 のパブリック IP アドレス。
         secret = your-psk-here                   # MODIFY：トンネル 2 の事前共有キー。Alibaba Cloud コンソールで設定したキーと一致する必要があります。
      }
   }

5. strongSwan の起動とトンネルステータスの確認

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

両方のトンネルで ESTABLISHED が表示され、CHILD_SA が INSTALLED 状態である場合、strongSwan デバイスと Alibaba Cloud VPN Gateway の間で IPsec 接続が正常に確立されたことを示しています。

Every 2.0s: swanctl --list-sas    iZ8psgynxxx: Fri Mar 13 14:53:47 2026
plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file
available
vco1: #11, ESTABLISHED, IKEv2, fbf8cda98d1d4f45_i c8a12ae19f8303d8_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.1.1x.58' @ XX.XX.1.1x.58[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 1534s ago, rekeying in 81327s
   vco_child1: #10, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 10638s ago, rekeying in 73995s, expires in 75762s
      in  c31a70fc, 892248 bytes, 10622 packets,    1s ago
      out c53ef972, 892332 bytes, 10623 packets,    1s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16
vco2: #10, ESTABLISHED, IKEv2, 9b259bb527d43acf_i f53df17098e08519_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.2.2x.121' @ XX.XX.2.2x.121[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 3270s ago, rekeying in 81252s
   vco_child2: #9, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 12865s ago, rekeying in 71956s, expires in 73535s
      in  c11c544e,      0 bytes,     0 packets,    7s ago
      out c7acef03,      0 bytes,     0 packets,   14s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16

接続性の検証

1. 「ECS インスタンスのセキュリティグループルールが ICMP トラフィックを許可していること」を確認します。次に、strongSwan デバイスにログオンして、クラウド ECS インスタンスのプライベート IP アドレスに ping を実行します。

   ping 10.0.0.1

   応答パケットが返されると、オンプレミス IDC とクラウド VPC 間の通信が確立されていることを確認できます。

2. オンプレミスファイアウォールが ICMP トラフィックを許可していることを確認します。次に、VPC 内の ECS インスタンス (10.0.0.1) にログオンして、strongSwan デバイスのプライベート IP アドレスに ping を実行します。

   ping 172.16.0.1

   応答パケットを受信した場合、逆方向の接続も確立されています。

高可用性の検証

1. ECS インスタンスから、オンプレミスサーバーに継続的な ping を実行します。

   ping 172.16.0.1 -c 10000

2. プライマリトンネルを中断します。Alibaba Cloud コンソールで、プライマリトンネルの事前共有キーを変更してキーの不一致を発生させます。これにより、プライマリトンネルの接続が失敗します。

3. ping の結果を観察します。短時間の中断後、通信が再開されます。これは、トラフィックがセカンダリトンネルに自動的にフェールオーバーしたことを示しています。

4. プライマリトンネルを復元します。プライマリトンネルの事前共有キーを正しい値に戻します。プライマリトンネルが復元されると、トラフィックは自動的にフェイルバックします。