VPN Gateway:IPsec-VPN のトランジットルーターへのバインド - はじめに

リソース計画

• クラウド：中国 (杭州) リージョンに、CIDR ブロックが 10.0.0.0/16 の VPC があります。

  • vSwitch 1：アベイラビリティーゾーン H に配置されており、CIDR ブロックは 10.0.0.0/24 です。

  • vSwitch 2：アベイラビリティーゾーン J に配置されており、CIDR ブロックは 10.0.2.0/24 です。

  • Elastic Compute Service (ECS) インスタンス：IP アドレスは 10.0.0.1 で、接続テストに使用します。

  • CEN インスタンス：トランジットルーターをホストします。

  • トランジットルーター：華東 1 (杭州) リージョンに作成します。TR のアドレス範囲は 10.10.10.0/24 です (VPC、IDC、または BGP CIDR ブロックと競合しないようにする必要があります)。

• オンプレミス：CIDR ブロックが 172.16.0.0/16 の IDC があります。

  • strongSwan デバイス：プライベート IP アドレスは 172.16.0.1 です。

  • パブリック IP アドレス：XX.XX.3.3 です。

• 暗号化アルゴリズム：IKEv2 / AES-128 / SHA-1 / DH グループ 2 / SA ライフタイムは 86400 秒です。トンネルの両端は、同じ暗号化パラメータで構成する必要があります。

• ルーティングモード：BGP 動的ルーティングを使用します。BGP CIDR ブロックの計画は以下のとおりです (トンネル CIDR ブロックは 169.254.0.0/16 内の /30 である必要があり、2 つのトンネルは同じにすることはできません)。

  リソース	トンネル	トンネルサブネット	BGP IP アドレス	BGP AS 番号
  IPsec 接続 (クラウド側)	トンネル 1	169.254.10.0/30	169.254.10.1	65535
  	トンネル 2	169.254.20.0/30	169.254.20.1	65535
  ローカルゲートウェイデバイス (IDC)	トンネル 1	169.254.10.0/30	169.254.10.2	65530
  	トンネル 2	169.254.20.0/30	169.254.20.2	65530

  両方のトンネルのローカル自律システム番号は同じである必要があります。リモート (IDC) の AS 番号も、両方のトンネルで同じにすることを推奨します。

前提条件

• VPC CIDR ブロック、IDC CIDR ブロック、および BGP トンネルサブネットは、相互に競合しないようにする必要があります。

• VPC が作成されており、2 つの異なるゾーンにそれぞれ vSwitch が作成されている必要があります (vSwitch が配置されているゾーンは、トランジットルーターがサポートするゾーンのリストに含まれている必要があります)。接続を検証するために、VPC 内に少なくとも 1 つの ECS インスタンスが存在する必要があります。

• CEN インスタンスとトランジットルーター (TR) が作成されており、以下の条件を満たしている必要があります。

  • VPC が TR にアタッチされている。

  • VPC と TR の間で、ルート伝播とルート同期が有効になっている。

  • TR に CIDR ブロックが構成されている。

• ローカル IDC に Linux サーバーがデプロイされており (この記事では CentOS Stream 9 を例として使用)、パブリック出口が 1 つある必要があります。このサーバーに strongSwan (IPsec トンネル用) と FRRouting (BGP 用) をインストールし、ローカルゲートウェイとして使用します。

1. ファイアウォールルールの設定

strongSwan デバイスで、ESP プロトコル (IP プロトコル番号 50)、UDP ポート 500、および UDP ポート 4500 を許可し、2 つのクラウド側の IPsec アドレスからのアクセスを可能にします。

以下の例では iptables を使用しています。ファイアウォールツールに合わせて調整してください。

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT  
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. IP フォワーディングの有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. strongSwan のインストール

sudo dnf install epel-release -y
sudo dnf install strongswan -y

4. XFRM インターフェイスと updown スクリプトの作成

デュアルトンネルシナリオでは、各トンネルのトラフィックを区別し、カーネルのルーティングポリシーの競合を回避するために、XFRM 仮想インターフェイスを作成する必要があります。BGP 動的ルーティングモードでは、XFRM インターフェイスに BGP トンネルアドレスも設定する必要があります。

# XFRM トンネルインターフェイスを作成 (それぞれトンネル 1 とトンネル 2 に対応。パブリック出口が 1 つの場合、両方の基盤インターフェイスは eth0)
sudo ip link add ipsec0 type xfrm dev eth0 if_id 42
sudo ip link add ipsec1 type xfrm dev eth0 if_id 43
sudo ip link set ipsec0 up
sudo ip link set ipsec1 up

# XFRM インターフェイスにローカル BGP トンネルアドレスを設定
sudo ip address add 169.254.10.2/30 dev ipsec0
sudo ip address add 169.254.20.2/30 dev ipsec1

5. strongSwan の設定

1. 元の設定ファイルをバックアップします。

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します。

   vi /etc/strongswan/swanctl/swanctl.conf

3. 以下の設定を追加します。例の IP アドレスとキーを実際の値に置き換えてください。

   # strongSwan デュアルトンネル IPsec-VPN 設定
   # 適用対象: Alibaba Cloud トランジットルーターにバインドされた IPsec 接続 + ローカルのパブリック出口が 1 つ + BGP 動的ルーティング
   #
   #
   # XFRM インターフェイス (if_id) を使用して 2 つのトンネルのトラフィックを区別。ルートは BGP によって動的に学習されます。
   
   connections {
   
      # === トンネル 1 ===
      tunnel1 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1               # strongSwan ローカル NIC の IP アドレス (必要に応じて変更: NAT 環境ではプライベート IP を使用。NIC がパブリック IP を直接バインドしている場合はパブリック IP を使用)
         local {
            auth = psk
            id = XX.XX.3.3                         # ローカルパブリック出口 IP (必要に応じて変更)
         }
   
         remote_addrs = XX.XX.1.1                  # Alibaba Cloud 側のトンネル 1 のパブリック IP (必要に応じて変更)
         remote {
            auth = psk
            id = XX.XX.1.1                         # Alibaba Cloud 側のトンネル 1 のパブリック IP、上記の remote_addrs と同じ (必要に応じて変更)
         }
   
         children {
            tunnel1-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               if_id_in = 42                       # ipsec0 インターフェイスに対応
               if_id_out = 42
            }
         }
   
         if_id_in = 42
         if_id_out = 42
      }
   
      # === トンネル 2 ===
      tunnel2 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1               # strongSwan ローカル NIC の IP アドレス、トンネル 1 と同じ (必要に応じて変更)
         local {
            auth = psk
            id = XX.XX.3.3                         # ローカルパブリック出口 IP、トンネル 1 と同じ (必要に応じて変更)
         }
   
         remote_addrs = XX.XX.2.2                  # Alibaba Cloud 側のトンネル 2 のパブリック IP (必要に応じて変更)
         remote {
            auth = psk
            id = XX.XX.2.2                         # Alibaba Cloud 側のトンネル 2 のパブリック IP、上記の remote_addrs と同じ (必要に応じて変更)
         }
   
         children {
            tunnel2-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               if_id_in = 43                       # ipsec1 インターフェイスに対応
               if_id_out = 43
            }
         }
   
         if_id_in = 43
         if_id_out = 43
      }
   }
   
   secrets {
      ike-tunnel1 {
         secret = "YOUR_PSK_HERE"                  # (変更) トンネル 1 の事前共有キー
         id-1 = XX.XX.3.3                          # (変更) オンプレミスのパブリック IP アドレス
         id-2 = XX.XX.1.1                          # (変更) Alibaba Cloud のトンネル 1 のパブリック IP アドレス
      }
      ike-tunnel2 {
         secret = "YOUR_PSK_HERE"                  # (変更) トンネル 2 の事前共有キー
         id-1 = XX.XX.3.3                          # (変更) オンプレミスのパブリック IP アドレス
         id-2 = XX.XX.2.2                          # (変更) Alibaba Cloud のトンネル 2 のパブリック IP アドレス
      }
   }

   重要

   • if_id_in と if_id_out は、各トンネルを対応する XFRM インターフェース (ipsec0 / ipsec1) にバインドし、2 つのトンネルのトラフィックが相互に干渉しないようにします。

   • local_ts と remote_ts が 0.0.0.0/0 に設定されている場合、BGP が学習したルートによって、トンネルに入るトラフィックが決定されます。宛先ルートモードでは、クラウド側のトラフィックセレクターも 0.0.0.0/0 になります。

6. strongSwan の起動とトンネルステータスの確認

sudo systemctl enable strongswan
sudo systemctl restart strongswan
sudo swanctl --load-all
sudo swanctl --list-sas

両方のトンネルに ESTABLISHED ステータスが表示され、CHILD_SA に INSTALLED が表示されている場合、IPsec 接続は正常に確立されています。

# 期待される出力の例 (省略)
tunnel1: #1, ESTABLISHED, IKEv2
  tunnel1-child: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
tunnel2: #2, ESTABLISHED, IKEv2
  tunnel2-child: #2, reqid 2, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96

7. BGP 動的ルーティング (FRRouting) の設定

IPsec トンネルが確立された後でも、ネットワークはまだ通信できません。ローカルゲートウェイデバイスで BGP を設定し、Alibaba Cloud 側との BGP ネイバーを確立し、ローカル CIDR ブロックを自動的にアドバタイズし、クラウド側の CIDR ブロックを学習する必要があります。

注意：strongSwan/FRR デバイスの再起動後、XFRM インターフェイス、BGP トンネルアドレス、および BGP 設定を再度追加する必要があります。

1. FRRouting をインストールします。

   sudo dnf install frr -y

2. bgpd デーモンを有効にします。

   /etc/frr/daemons を編集し、bgpd=no を bgpd=yes に変更して保存し、その後 FRR を起動します：

   sudo sed -i 's/^bgpd=no/bgpd=yes/' /etc/frr/daemons
   sudo systemctl enable frr
   sudo systemctl restart frr

3. BGP 設定を追加します。

   vtysh 設定インターフェイスに入り、以下の設定を追加します。実行時には、アドレスを実際の値に置き換えてください。

   • 169.254.10.1 および 169.254.20.1: Alibaba Cloud 側の 2 つのトンネルのローカル BGP アドレス (つまり、ローカルデバイスのリモート BGP ネイバー) に置き換えます。

   • 65535: Alibaba Cloud IPsec 接続のローカル自律システム番号に置き換えます。

   • 65530: ローカル IDC の BGP AS 番号に置き換えます。

   • 172.16.0.0/24: クラウド側にアドバタイズするローカル IDC の CIDR ブロックに置き換えます。

   sudo vtysh

   configure terminal
   route-map allow-all permit 1
   exit
   
   router bgp 65530
    bgp router-id 169.254.10.2
    neighbor 169.254.10.1 remote-as 65535
    neighbor 169.254.10.1 timers 10 30
    neighbor 169.254.20.1 remote-as 65535
    neighbor 169.254.20.1 timers 10 30
   
    address-family ipv4 unicast
     network 172.16.0.0/16
     neighbor 169.254.10.1 soft-reconfiguration inbound
     neighbor 169.254.10.1 route-map allow-all in
     neighbor 169.254.10.1 route-map allow-all out
     neighbor 169.254.20.1 soft-reconfiguration inbound
     neighbor 169.254.20.1 route-map allow-all in
     neighbor 169.254.20.1 route-map allow-all out
     maximum-paths 32
    exit-address-family
   exit
   exit
   write memory

4. BGP ネイバーとルートを確認します。

   show ip bgp summary
   show ip bgp

   • show ip bgp summary の 2 つのネイバー (169.254.10.1 と 169.254.20.1) の State/PfxRcd に (Active/Idle ではなく) 受信プレフィックス数が表示されていれば、BGP ネイバーが確立されたことを示します。

   • show ip bgp では、BGP を介して学習されたクラウド側の VPC CIDR ブロック (10.0.0.0/24 や 10.0.2.0/24 など) を確認できます。各 CIDR ブロックには、それぞれトンネル 1 とトンネル 2 を経由する 2 つの等価パスがあり、ECMP が形成されています。

   # show ip bgp summary の期待される出力例 (一部省略)
   Neighbor        V         AS   ... State/PfxRcd
   169.254.10.1    4      65535   ...            2
   169.254.20.1    4      65535   ...            2
   
   # show ip bgp の期待される出力例
   *> 10.0.0.0/24      169.254.10.1   ... 65535 i
   *=                  169.254.20.1   ... 65535 i
   *> 10.0.2.0/24      169.254.10.1   ... 65535 i
   *=                  169.254.20.1   ... 65535 i

5. ECMP ルートがカーネルにインストールされていることを確認します。

   ip route show 10.0.0.0/24
   # 期待される結果: ipsec0 と ipsec1 経由の 2 つのネクストホップを持つ 1 つのルート

接続テスト

1. まず、ECS セキュリティグループのルールで ICMP プロトコルが許可されていることを確認してから、ローカル IDC 内のクライアントからクラウド側の ECS に ping を実行します。

   ping 10.0.0.1

   応答があれば、VPC とオンプレミス IDC 間の接続が確立されていることを確認できます。

   注: strongSwan デバイス自体から ping を実行する際は、カーネルに BGP トンネルアドレス (169.254.x.x) が送信元アドレスとして選択され、リターンパスが失敗するのを防ぐため、IDC 内部 IP を送信元アドレスとして指定してください (例: ping -I 172.16.0.1 10.0.0.1)。

2. strongSwan デバイスまたは別のオンプレミスサーバーが ICMP トラフィックを許可していることを確認します。VPC 内の ECS インスタンス (10.0.0.1) にログオンし、strongSwan デバイスに ping を実行します。

   ping 172.16.0.1

   応答があれば、双方向の接続を確認できます。

高可用性のテスト

トランジットルーターにバインドされ、BGP を使用する IPsec 接続は、デフォルトで等コストマルチパス (ECMP) モードで両方のトンネルを同時に使用し、トラフィックは 2 つのトンネル間で負荷分散されます。1 つのトンネルに障害が発生すると、BGP は自動的にそのトンネルのルートを撤回し、手動スイッチオーバーなしでトラフィックはもう一方のトンネルに収束します。

1. ECS が IDC サーバーへの ping を継続するようにします。

   ping 172.16.0.1 -c 10000

2. トンネルの 1 つを中断します。Alibaba Cloud コンソールで、IPsec 接続のトンネル 1 の事前共有キーを変更します (両端のキーが一致しないようにします)。トンネルは中断され、その BGP ネイバーも切断されます。

3. ping の結果を観察します。短い中断の後、通信が再開され、トラフィックが自動的にトンネル 2 に収束したことがわかります。

4. トンネルを復元します。トンネル 1 の事前共有キーを正しい値に戻します。トンネルと BGP ネイバーが復元されると、トラフィックは再び 2 つのトンネル間で負荷分散されます。