拡張 VPN Gateway のクイックスタート

リソース計画

• クラウドリソース：マレーシア (クアラルンプール) リージョンにある、CIDR ブロックが 10.0.0.0/16 の VPC。

  • vSwitch 1：アベイラビリティーゾーン A にあり、CIDR ブロックは 10.0.0.0/24 です。

  • vSwitch 2：アベイラビリティーゾーン B にあり、CIDR ブロックは 10.0.1.0/24 です。

  • Elastic Compute Service (ECS) インスタンス：vSwitch 1 にデプロイされ、IP アドレスは 10.0.0.1 です。

  • VPN Gateway：1 つの IPsec 接続を作成します。システムは、この接続に 2 つのパブリック IP アドレスを自動的に割り当てます。

    • IPsec アドレス 1 (プライマリトンネル用)：XX.XX.1.1

    • IPsec アドレス 2 (セカンダリトンネル用)：XX.XX.2.2

• オンプレミスリソース：CIDR ブロックが 172.16.0.0/16 のオンプレミス IDC。

  • strongSwan デバイス：プライベート IP アドレス 172.16.0.1。

  • パブリック出口 IP アドレス：XX.XX.3.3

• 暗号化アルゴリズム：AES-256-GCM-16 / SHA-256 / DH Group 14。これはオンプレミスのデバイスで指定する必要があります。拡張 VPN Gateway は、互換性のあるアルゴリズムを自動的にネゴシエーションします。

• ルーティング方法：ポリシーベースモードで静的ルーティングを使用します。このモードでは、両端のネットワークを定義して、VPN トンネルを通過するトラフィック (いわゆる「対象トラフィック」) を指定します。システムは、このトラフィックを自動的にルーティングし、必要なルートを作成します。

前提条件

• VPC の CIDR ブロックとオンプレミス IDC の CIDR ブロックが重複していないこと。

• 「リソース計画」セクションで説明されているように、VPC を作成済みであること。VPC には、異なるアベイラビリティーゾーンにある 2 つの vSwitch と、接続をテストするための少なくとも 1 つの ECS インスタンスが含まれていること。

• オンプレミス IDC に Linux サーバーがデプロイされていること。このトピックでは、CentOS Stream 9 を例として使用します。サーバーにはパブリック出口 IP アドレスが 1 つあります。このサーバーに strongSwan をインストールして、オンプレミスゲートウェイとして使用します。

1. ファイアウォールルールの設定

strongSwan デバイスで、ESP プロトコル (IP プロトコル番号 50)、UDP ポート 500、および UDP ポート 4500 を許可し、クラウド側の 2 つの IPsec アドレスからのアクセスを許可します。

次のコマンドは iptables を例として使用しています。使用しているファイアウォールツールに基づいてコマンドを変更してください。

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT                
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. IP フォワーディングの有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. strongSwan のインストール

dnf install epel-release -y
dnf install strongswan -y

4. strongSwan の設定

1. 元の設定ファイルをバックアップします。

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します。

   vi /etc/strongswan/swanctl/swanctl.conf

3. 次の設定を追加してファイルを保存します。プレースホルダーの値を実際の値に置き換えてください。

   # strongSwan デュアルトンネル IPsec-VPN 設定：Alibaba Cloud 拡張 VPN Gateway + 単一のオンプレミスパブリック出口 IP + ポリシーベースモード
   #
   # 注記：「変更」とマークされたパラメーターのみを変更してください。残りはデフォルトのままにしてください。
   # アルゴリズム詳細：aes256gcm16-sha256-modp2048 = AES-256-GCM-16 / SHA-256 / DH Group 14
   # 高可用性：vco1 (priority=1) はプライマリトンネル、vco2 (priority=2) はセカンダリトンネルです。フェイルオーバーは自動で行われます。
   connections {
      # === トンネル 1 (プライマリ) ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # 変更：strongSwan サーバーのネットワークインターフェイスのプライベート IP アドレス。サーバーが NAT デバイスの背後にある場合は、そのプライベート IP アドレスを入力します。サーバーのネットワークインターフェイスにパブリック IP アドレスが直接割り当てられている場合は、パブリック IP アドレスを入力します。
         local {
            auth = psk
            id = XX.XX.3.3                        # 変更：オンプレミスゲートウェイのパブリック出口 IP アドレス。
         }
         remote_addrs = XX.XX.1.1                 # 変更：Alibaba Cloud トンネル 1 のパブリック IP アドレス。
         remote {
            auth = psk
            id = XX.XX.1.1                        # 変更：Alibaba Cloud トンネル 1 のパブリック IP アドレス。remote_addrs と一致する必要があります。
         }
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # 変更：オンプレミスネットワークの CIDR ブロック (対象トラフィック)。
               remote_ts = 10.0.0.0/16            # 変更：VPC の CIDR ブロック (対象トラフィック)。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 1                       # プライマリトンネルを指定します。このパラメーターは変更しないことを推奨します。
            }
         }
      }
      # === トンネル 2 (セカンダリ) ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes256gcm16-sha256-modp2048
         encap = yes
         local_addrs  = 172.16.0.1                # 変更：strongSwan サーバーのネットワークインターフェイスの IP アドレス。トンネル 1 の local_addrs と同じである必要があります。
         local {
            auth = psk
            id = XX.XX.3.3                        # 変更：オンプレミスゲートウェイのパブリック出口 IP アドレス。トンネル 1 の id と同じである必要があります。
         }
         remote_addrs = XX.XX.2.2                 # 変更：Alibaba Cloud トンネル 2 のパブリック IP アドレス。
         remote {
            auth = psk
            id = XX.XX.2.2                        # 変更：Alibaba Cloud トンネル 2 のパブリック IP アドレス。remote_addrs と一致する必要があります。
         }
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # 変更：オンプレミスネットワークの CIDR ブロック。トンネル 1 の local_ts と同じである必要があります。
               remote_ts = 10.0.0.0/16            # 変更：VPC の CIDR ブロック。トンネル 1 の remote_ts と同じである必要があります。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes256gcm16-sha256-modp2048
               priority = 2                       # セカンダリトンネルを指定します。このパラメーターは変更しないことを推奨します。
            }
         }
      }
   }
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # 変更：Alibaba Cloud トンネル 1 のパブリック IP アドレス。
         secret = your-psk-here                   # 変更：トンネル 1 の事前共有キー。Alibaba Cloud コンソールで設定したキーと一致する必要があります。
      }
      ike-vco2 {
         id = XX.XX.2.2                           # 変更：Alibaba Cloud トンネル 2 のパブリック IP アドレス。
         secret = your-psk-here                   # 変更：トンネル 2 の事前共有キー。Alibaba Cloud コンソールで設定したキーと一致する必要があります。
      }
   }

5. strongSwan の起動とトンネルステータスの確認

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

両方のトンネルが ESTABLISHED と表示され、CHILD_SA が INSTALLED 状態であれば、strongSwan デバイスと Alibaba Cloud VPN Gateway 間に IPsec 接続が正常に確立されたことを意味します。

Every 2.0s: swanctl --list-sas    iZ8psgynxxx: Fri Mar 13 14:53:47 2026
plugin 'sqlite': failed to load - sqlite_plugin_create not found and no plugin file
available
vco1: #11, ESTABLISHED, IKEv2, fbf8cda98d1d4f45_i c8a12ae19f8303d8_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.1.1x.58' @ XX.XX.1.1x.58[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 1534s ago, rekeying in 81327s
   vco_child1: #10, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 10638s ago, rekeying in 73995s, expires in 75762s
      in  c31a70fc, 892248 bytes, 10622 packets,    1s ago
      out c53ef972, 892332 bytes, 10623 packets,    1s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16
vco2: #10, ESTABLISHED, IKEv2, 9b259bb527d43acf_i f53df17098e08519_r*
   local  'XX.XX.3.3x.18' @ 172.16.0.1[4500]
   remote 'XX.XX.2.2x.121' @ XX.XX.2.2x.121[4500]
   AES_GCM_16-256/PRF_HMAC_SHA2_256/MODP_2048
   established 3270s ago, rekeying in 81252s
   vco_child2: #9, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_GCM_16-256/MODP_2048
      installed 12865s ago, rekeying in 71956s, expires in 73535s
      in  c11c544e,      0 bytes,     0 packets,    7s ago
      out c7acef03,      0 bytes,     0 packets,   14s ago
      local  172.16.0.0/16
      remote 10.0.0.0/16

接続性の確認

1. ECS インスタンスのセキュリティグループルールが ICMP トラフィックを許可していることを確認します。次に、strongSwan デバイスにログオンし、ECS インスタンスのプライベート IP アドレスに ping を実行します。

   ping 10.0.0.1

   応答パケットは、オンプレミス IDC とクラウド VPC 間の通信が確立されたことを意味します。

2. オンプレミスのファイアウォールが ICMP トラフィックを許可していることを確認します。次に、VPC 内の ECS インスタンス (10.0.0.1) にログオンし、strongSwan デバイスのプライベート IP アドレスに ping を実行します。

   ping 172.16.0.1

   応答パケットを受信した場合、逆方向の接続も確立されています。

高可用性の確認

1. ECS インスタンスから、オンプレミスサーバーへの継続的な ping を実行します。

   ping 172.16.0.1 -c 10000

2. プライマリトンネルを中断します。Alibaba Cloud コンソールで、プライマリトンネルの事前共有キーを変更してキーの不一致を発生させます。これにより、プライマリトンネルが切断されます。

3. ping の結果を観察します。短い中断の後、通信が再開します。これは、トラフィックが自動的にセカンダリトンネルにフェイルオーバーしたことを意味します。

4. プライマリトンネルを復元します。プライマリトンネルの事前共有キーを正しい値に戻します。プライマリトンネルが復元されると、トラフィックは自動的にフェールバックします。