拡張型 VPN ゲートウェイは 2024 年 2 月にリリースされ、現在 パブリックプレビュー 中です。ご利用になるには、Alibaba Cloud エンジニアにアクセス権限をリクエストしてください。
対応リージョン：マレーシア (クアラルンプール)、イギリス (ロンドン)、中国 (成都)、米国 (バージニア)、米国 (シリコンバレー)、中国 (香港)、シンガポール。
VPN ゲートウェイには、拡張型と従来型の 2 種類があります。これらのタイプは、帯域幅、パブリック IP アドレス、暗号化アルゴリズム、課金方法が異なります。
クイック選択
以下のケースでは、拡張型 VPN ゲートウェイをご利用ください。
初めてご利用になる場合は、構成がシンプル（複数アルゴリズム互換性を含む）な拡張型 VPN ゲートウェイを推奨します。パブリックプレビュー期間中は、IPsec 接続料金が免除されます。
従来型 VPN ゲートウェイをご利用中で、接続あたりの帯域幅をより高くしたい場合。
複数アルゴリズム互換性が必要で、AES128-GCM-16 および AES256-GCM-16 アルゴリズム、または DH グループ 15～24 のサポートが必要な場合。
トラフィックセレクターをより多く設定する必要がある場合（最大 10 個）。
以下のケースでは、従来型 VPN ゲートウェイをご利用ください。
SSL-VPN 接続（クライアント・トゥ・サイト）を確立する必要がある場合。
詳細な比較
項目 | 拡張型 VPN ゲートウェイ | 従来型 VPN ゲートウェイ |
帯域幅 | VPN ゲートウェイインスタンスには帯域幅仕様がありません。 各 IPsec 接続には 専用帯域幅 1 Gbps が割り当てられ、他の接続に影響しません。 | VPN ゲートウェイインスタンスには帯域幅仕様があり、最大 1,000 Mbps（一部リージョンでは 500 Mbps）です。 ゲートウェイインスタンス上のすべての IPsec 接続はこの帯域幅を共有します。 |
クラウドパブリック IP | 各トンネルにはクラウドから専用のパブリック IP アドレスが割り当てられ、他のトンネルと共有しません。 | ゲートウェイインスタンス上のすべての IPsec トンネルは、ゲートウェイインスタンスのパブリック IP アドレスを共有します。 |
プライベート IP 使用量 | 関連付けられた 2 つの vSwitch それぞれから 1 つずつプライベート IP アドレスを消費し、Elastic Network Interface (ENI) を作成します。合計で 2 つのプライベート IP を使用します。 | VPN ゲートウェイに関連付けられた 2 つの vSwitch それぞれから 1 つのプライベート IP アドレス を消費します。これらの IP は Elastic Network Interface (ENI) の作成に使用されます。合計で 2 つのプライベート IP を使用します。 |
トラフィックセレクターの数 | 10 | 5 |
複数アルゴリズム互換性 | サポートされています。複数の暗号化アルゴリズムを設定でき、サードパーティ製デバイスとの接続時に構成が簡素化されます。 | サポートされていません。ピアデバイスと完全に一致する単一のアルゴリズム組み合わせを指定する必要があります。 |
暗号化アルゴリズム | 暗号化：AES128-GCM-16 および AES256-GCM-16 のサポートを追加。 DH グループ：グループ 15～24（合計 10 グループ） のサポートを追加。 | 暗号化：AES-128、AES-192、AES-256、3DES、DES。 DH グループ：グループ 1、2、5、14 のみ。 |
SSL-VPN | サポートされていません | サポートされています |
ポリシーベースルート | サポートされていません | サポートされています（最大 20 ルート）。 |
BGP ルートエントリ | 200 | 50（リクエストにより 200 まで増加可能）。 |
課金 | 課金対象：IPsec 接続 課金項目：IPsec 接続料金 + データ転送料金 | 課金対象：VPN ゲートウェイ |
アーキテクチャ図
拡張型 VPN ゲートウェイ：
従来型 VPN ゲートウェイ：
帯域幅
拡張型：各接続に専用帯域幅を割り当て
拡張型 VPN ゲートウェイには設定可能な帯域幅属性がありません。各 IPsec 接続には、他の接続とは独立した専用帯域幅 1 Gbps が割り当てられます。
たとえば、拡張型 VPN ゲートウェイ上に 2 つの IPsec 接続を作成した場合、各接続にはそれぞれ専用の 1 Gbps 帯域幅が確保されます。1 つ目の接続のトラフィックが、2 つ目の接続の利用可能帯域幅に影響することはありません。
IPsec 接続内の各トンネルには 1 Gbps の帯域幅があります。ただし、IPsec 接続はアクティブ・スタンバイ構成のデュアルトンネルで構成されるため、通常はアクティブトンネルのみがトラフィックを処理します。したがって、単一の IPsec 接続で実際に利用可能な帯域幅は 1 Gbps です。
従来型：すべての接続で帯域幅を共有
従来型 VPN ゲートウェイには設定可能な帯域幅属性（例：200 Mbps、500 Mbps、1,000 Mbps）があります。そのゲートウェイ上のすべての IPsec 接続はこの帯域幅を共有します。
たとえば、帯域幅が 200 Mbps の従来型 VPN ゲートウェイ上で 2 つの IPsec 接続を作成した場合、両方の接続は200 Mbps の帯域幅を共有します。1 つ目の接続で大量のトラフィックが発生すると、2 つ目の接続の利用可能帯域幅に影響を与える可能性があります。
パブリックおよびプライベート IP アドレス
拡張型：専用のパブリック IP アドレス
システムは、各 IPsec トンネルに異なるパブリック IP アドレスを割り当てます。
各 IPsec 接続には 2 つのトンネル（デュアルトンネルモード）が含まれるため、各接続は2 つの独立したパブリック IP アドレスを使用します。
オンプレミスゲートウェイ側で、これらのパブリック IP アドレスの両方に向けて IPsec トンネルを確立するように構成する必要があります。
メリット：この設計により、トンネル間の障害分離が向上します。あるトンネルのパブリック IP が変更されても、他のトンネルには影響しません。
従来型：共有のパブリック IP アドレス
従来型 VPN ゲートウェイ上のすべての IPsec 接続は、ゲートウェイのパブリック IP アドレスを共有します。
作成する IPsec 接続の数に関係なく、すべてのトンネルはゲートウェイのパブリック IP アドレスを使用します。
注記：パブリック IP アドレスに問題が発生した場合、VPN ゲートウェイ上のすべての IPsec 接続に影響します。
プライベート IP アドレス
拡張型および従来型の VPN ゲートウェイは、プライベート IP の使用方法が同じです。ゲートウェイを作成する際は、VPC および異なるゾーンにある 2 つの vSwitch を関連付ける必要があります。その後、システムが各 vSwitch に Elastic Network Interface (ENI) を作成し、VPN ゲートウェイと VPC 間のトラフィックインターフェイスとして機能させます。
各 ENI は、所属する vSwitch から1 つのプライベート IP アドレスを消費します。
VPN ゲートウェイの作成後、合計で2 つのプライベート IP アドレス（各 vSwitch から 1 つずつ）を消費します。
vSwitch に十分な空き IP アドレスがあることを確認してください。
次のステップ
拡張型 VPN の開始
詳細については、「拡張型 VPN ゲートウェイのクイックスタート」をご参照ください。
従来型 VPN の開始
詳細については、「従来型 VPN ゲートウェイのクイックスタート」をご参照ください。
拡張型 VPN ゲートウェイへの移行
移行プロセスによりネットワークが中断する可能性があります。事前にリスクを評価し、緊急対応計画を準備することを推奨します。
既存の従来型 VPN ゲートウェイを拡張型 VPN ゲートウェイに直接スペックアップすることはできません。新しいゲートウェイを作成する必要があります。
以下の移行手順を推奨します。
拡張型 VPN ゲートウェイを作成し、同一の VPC に関連付けます。
拡張型 VPN ゲートウェイ上に新しい IPsec 接続を作成し、クラウド側の新しいパブリック IP アドレスをメモします。
オンプレミスゲートウェイ側で、新しいパブリック IP アドレス宛の IPsec トンネルを構成します。
新しい接続が期待通りに動作することを確認した後、従来型 VPN ゲートウェイ上の古い IPsec 接続を削除します。
従来型 VPN ゲートウェイを削除します。