VPN Gateway:クイックスタート：トランジットルーターへの IPsec 接続

リソース計画

• クラウド：中国 (杭州) リージョンに CIDR ブロックが 10.0.0.0/16 の Virtual Private Cloud (VPC)。

  • vSwitch 1：アベイラビリティゾーン H にあり、CIDR ブロックは 10.0.0.0/24。

  • vSwitch 2：アベイラビリティゾーン J にあり、CIDR ブロックは 10.0.2.0/24。

  • ECS インスタンス：接続性テストのために、IP アドレス 10.0.0.1 を持つ vSwitch にデプロイ。

  • CEN インスタンス：トランジットルーターをホストするために使用。

  • トランジットルーター：中国 (杭州) リージョンに作成され、TR の CIDR ブロックは 10.10.10.0/24。この CIDR ブロックは、VPC またはオンプレミス IDC の CIDR ブロックと重複してはいけません。

• オンプレミス：CIDR ブロックが 172.16.0.0/16 のオンプレミス IDC。

  • strongSwan デバイス：プライベート IP アドレス 172.16.0.1。

  • パブリック IP アドレス：XX.XX.3.3。

• 暗号化アルゴリズム：IKEv2 / AES-128-CBC / SHA-1 / DH グループ 2。暗号化パラメーターは、トンネルの両端で同一である必要があります。

• ルーティング方法：宛先ベースルーティング。トランジットルーターのルートテーブルに静的ルートを追加し、オンプレミス IDC 宛てのトラフィックを IPsec 接続に転送します。

前提条件

• VPC とオンプレミス IDC の CIDR ブロックが重複していないこと。

• VPC が作成されており、異なるアベイラビリティゾーンに 2 つの vSwitch があること。接続性をテストするために、VPC 内に少なくとも 1 つの Elastic Compute Service (ECS) インスタンスが存在すること。

• Cloud Enterprise Network (CEN) インスタンスとトランジットルーター (TR) が作成されており、以下の条件が満たされていること：

  • VPC が TR にアタッチされていること。

  • ルート学習とルート伝播が VPC と TR の間で有効になっていること。

  • TR にCIDR ブロックが設定されていること。

• ご利用のオンプレミス IDC に Linux サーバーがデプロイされていること。このチュートリアルでは、CentOS Stream 9 を例として使用します。サーバーにはパブリック IP アドレスが必要です。このサーバーに strongSwan をインストールし、オンプレミスゲートウェイデバイスとして機能させます。

1. ファイアウォールルールの設定

strongSwan デバイスで、2 つのクラウド側 IPsec アドレスからの ESP プロトコル (IP プロトコル番号 50)、UDP ポート 500、および UDP ポート 4500 のインバウンドトラフィックを許可します。

以下のコマンドは iptables を例としています。使用するファイアウォールツールに応じてコマンドを調整してください。

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT  
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. IP 転送の有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. strongSwan のインストール

sudo dnf install epel-release -y
sudo dnf install strongswan -y

4. XFRM インターフェイスと updown スクリプトの作成

デュアルトンネルのシナリオでは、トンネル間のトラフィックを区別する必要があります。カーネルのルーティングポリシーの競合を避けるために、XFRM 仮想インターフェイスを作成します。

# トンネル 1 とトンネル 2 用にそれぞれ XFRM インターフェイスを作成
sudo ip link add xfrm1 type xfrm dev eth0 if_id 1
sudo ip link add xfrm2 type xfrm dev eth0 if_id 2
sudo ip link set xfrm1 up
sudo ip link set xfrm2 up

# クラウドの CIDR ブロックへのトラフィックを両方のトンネルで負荷分散するための ECMP ルートを追加
sudo ip route add 10.0.0.0/16 nexthop dev xfrm1 weight 1 nexthop dev xfrm2 weight 1

updown スクリプトを作成して、トンネルが切断されたときに、対応する XFRM インターフェイスを自動的に停止させます。これにより、Linux カーネルはトラフィックをアクティブなトンネルにリダイレクトできます。

sudo tee /usr/local/bin/xfrm-updown.sh > /dev/null << 'EOF'
#!/bin/bash
XFRM_IF="xfrm${PLUTO_IF_ID_IN}"
case "${PLUTO_VERB}" in
    up-client)
        ip link set "${XFRM_IF}" up 2>/dev/null
        ;;
    down-client)
        ip link set "${XFRM_IF}" down 2>/dev/null
        ;;
esac
EOF
sudo chmod +x /usr/local/bin/xfrm-updown.sh

再起動後も XFRM インターフェイスとルートを永続化させるには、コマンドを起動スクリプトに追加してください。

5. strongSwan の設定

1. 元の設定ファイルをバックアップします：

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します：

   vi /etc/strongswan/swanctl/swanctl.conf

3. 以下の設定を追加して保存します。IP アドレスとキーの例を実際の値に置き換えてください。

   # strongSwan デュアルトンネル IPsec-VPN 設定
   # Alibaba Cloud トランジットルーターにアタッチされた IPsec 接続用
   # 単一のオンプレミス パブリック IP を使用し、宛先ベースルーティングを利用。
   #
   # 「(変更)」とマークされたパラメーターのみ変更してください。他のパラメーターはデフォルト値のままにしてください。
   # この設定では、XFRM インターフェイス (if_id) を使用してトンネルトラフィックを区別し、ECMP で負荷分散を行います。
   
   connections {
   
      # === トンネル 1 ===
      tunnel1 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes128-sha1-modp1024
   
         local_addrs  = 172.16.0.1               # (変更) strongSwan サーバーの NIC のプライベート IP。NAT 環境では、プライベート IP を使用します。
         local {
            auth = psk
            id = XX.XX.3.3                         # (変更) オンプレミスのパブリック IP アドレス。
         }
   
         remote_addrs = XX.XX.1.1                  # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP アドレス。
         remote {
            auth = psk
            id = XX.XX.1.1                         # (変更) 上記の remote_addrs と同じパブリック IP。
         }
   
         children {
            tunnel1-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes128-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               updown = /usr/local/bin/xfrm-updown.sh
               if_id_in = 1                        # xfrm1 インターフェイスに対応します。
               if_id_out = 1
            }
         }
   
         if_id_in = 1
         if_id_out = 1
      }
   
      # === トンネル 2 ===
      tunnel2 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes128-sha1-modp1024
   
         local_addrs  = 172.16.0.1               # (変更) トンネル 1 と同じプライベート IP。
         local {
            auth = psk
            id = XX.XX.3.3                         # (変更) トンネル 1 と同じオンプレミスのパブリック IP。
         }
   
         remote_addrs = XX.XX.2.2                  # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP アドレス。
         remote {
            auth = psk
            id = XX.XX.2.2                         # (変更) 上記の remote_addrs と同じパブリック IP。
         }
   
         children {
            tunnel2-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes128-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               updown = /usr/local/bin/xfrm-updown.sh
               if_id_in = 2                        # xfrm2 インターフェイスに対応します。
               if_id_out = 2
            }
         }
   
         if_id_in = 2
         if_id_out = 2
      }
   }
   
   secrets {
      ike-tunnel1 {
         id-1 = XX.XX.3.3                          # (変更) オンプレミスのパブリック IP アドレス。
         id-2 = XX.XX.1.1                          # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP アドレス。
         secret = "your-psk-here"                  # (変更) トンネル 1 の事前共有鍵。Alibaba Cloud 上のキーと一致する必要があります。
      }
      ike-tunnel2 {
         id-1 = XX.XX.3.3                          # (変更) オンプレミスのパブリック IP アドレス。
         id-2 = XX.XX.2.2                          # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP アドレス。
         secret = "your-psk-here"                  # (変更) トンネル 2 の事前共有鍵。Alibaba Cloud 上のキーと一致する必要があります。
      }
   }

   重要

   • if_id_in と if_id_out パラメーターは、各トンネルを対応する XFRM インターフェイス (xfrm1 または xfrm2) にバインドし、2 つのトンネルからのトラフィックが干渉しないようにします。

   • local_ts と remote_ts のトラフィックセレクターは 0.0.0.0/0 に設定されています。XFRM インターフェイス上のルートテーブルが、どのトラフィックがトンネルに入るかを決定します。宛先ベースルーティングでは、クラウド側のトラフィックセレクターも 0.0.0.0/0 に設定されます。

6. strongSwan の起動とトンネルステータスの確認

sudo systemctl enable strongswan
sudo systemctl restart strongswan
sudo swanctl --load-all
sudo swanctl --list-sas

両方のトンネルのステータスが ESTABLISHED で、CHILD_SA のステータスが INSTALLED と表示されれば、strongSwan デバイスと Alibaba Cloud 間の IPsec 接続は正常に確立されています。

# 期待される出力例 (省略版)
tunnel1: #1, ESTABLISHED, IKEv2
  tunnel1-child: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
tunnel2: #2, ESTABLISHED, IKEv2
  tunnel2-child: #2, reqid 2, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96

接続性のテスト

1. まず、ECS インスタンスのセキュリティグループルールが ICMP トラフィックを許可していることを確認します。次に、strongSwan デバイスにログインし、以下のコマンドを実行して ECS インスタンスに PING を送信します：

   ping 10.0.0.1

   応答があれば、VPC とオンプレミス IDC 間の接続は確立されています。

2. まず、strongSwan デバイスまたは他のオンプレミスサーバーが ICMP トラフィックを許可していることを確認します。次に、VPC 内の ECS インスタンス (10.0.0.1) にログインし、strongSwan デバイスのプライベート IP アドレスに PING を送信します：

   ping 172.16.0.1

   応答があれば、逆方向の接続も正常に機能しています。

高可用性のテスト

デフォルトでは、トランジットルーターにアタッチされた IPsec 接続は、等コストマルチパス (ECMP) 構成で負荷分散と高可用性のために両方のトンネルを同時に使用します。一方のトンネルに障害が発生した場合、トラフィックは手動介入なしで自動的にもう一方のアクティブなトンネルにフェイルオーバーします。

1. ECS インスタンスからオンプレミス IDC 内のサーバーへの継続的な PING を開始します：

   ping 172.16.0.1 -c 10000

2. トンネルの 1 つを中断させます。例えば、Alibaba Cloud コンソールで、トンネル 1 の事前共有鍵を変更してキーの不一致を発生させます。これにより、トンネルは切断されます。

3. PING の結果を観察します。短い中断の後、PING が再開されるはずです。これは、トラフィックが自動的にトンネル 2 にフェイルオーバーしたことを示します。

4. トンネル 1 の事前共有鍵を正しい値に戻してトンネルを復旧させます。トンネルが再確立されると、トラフィックは再び両方のトンネルで負荷分散されます。