VPN Gateway:Traditional VPN Gateway Quick Start

1. ファイアウォールポリシーの許可

strongSwan デバイスで、クラウド上の 2 つの IPsec アドレスからのアクセスを許可するために、ESP プロトコル (IP プロトコル番号 50)、UDP ポート 500、および UDP ポート 4500 を許可します。

例えば、iptables を使用している場合は、実際のファイアウォールツールに基づいてコマンドを調整してください：

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. IP フォワーディングの有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. strongSwan のインストール

dnf install epel-release -y
dnf install strongswan -y

4. strongSwan の設定

1. 元の設定ファイルをバックアップします：mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します：vi /etc/strongswan/swanctl/swanctl.conf

3. 以下の設定を追加して保存します。サンプル IP アドレスと事前共有鍵を実際の値に置き換えてください：

   # Alibaba Cloud 従来の VPN Gateway + オンプレミスの単一パブリックアウトバウンド IP + 保護されたデータフロー向けの strongSwan デュアルトンネル IPsec-VPN 設定
   #
   # 「必要に応じて変更」とマークされたパラメーターのみ変更が必要です。その他はデフォルトのままでかまいません。
   # アルゴリズム注記：aes128-sha1-modp1024 = AES-128 / SHA-1 / DH グループ 2 (コンソールのデフォルト)
   # アクティブ/スタンバイロジック：vco1 (priority=1) はアクティブトンネル、vco2 (priority=2) はスタンバイトンネルです。アクティブトンネルに障害が発生すると、自動的にフェイルオーバーします。
   
   connections {
   
      # === トンネル 1 (アクティブ) ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # strongSwan デバイスのネットワークインターフェース IP (必要に応じて変更：NAT 環境ではプライベート IP を使用し、インターフェースがパブリックアウトバウンド IP に直接バインドされている場合はパブリック IP を使用します)
         local {
            auth = psk
            id = XX.XX.3.3                        # オンプレミスのパブリックアウトバウンド IP (必要に応じて変更)
         }
   
         remote_addrs = XX.XX.1.1                 # Alibaba Cloud トンネル 1 のパブリック IP (必要に応じて変更)
         remote {
            auth = psk
            id = XX.XX.1.1                        # Alibaba Cloud トンネル 1 のパブリック IP、上記の remote_addrs と一致させる必要があります (必要に応じて変更)
         }
   
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # オンプレミスの保護されたデータフローの CIDR ブロック (必要に応じて変更)
               remote_ts = 10.0.0.0/16            # Alibaba Cloud の保護されたデータフローの CIDR ブロック (必要に応じて変更)
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 1                       # アクティブトンネルとして設定。変更しないでください。
            }
         }
      }
   
      # === トンネル 2 (スタンバイ) ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # strongSwan デバイスのネットワークインターフェース IP、トンネル 1 と同じ (必要に応じて変更)
         local {
            auth = psk
            id = XX.XX.3.3                        # オンプレミスのパブリックアウトバウンド IP、トンネル 1 と同じ (必要に応じて変更)
         }
   
         remote_addrs = XX.XX.2.2                 # Alibaba Cloud トンネル 2 のパブリック IP (必要に応じて変更)
         remote {
            auth = psk
            id = XX.XX.2.2                        # Alibaba Cloud トンネル 2 のパブリック IP、上記の remote_addrs と一致させる必要があります (必要に応じて変更)
         }
   
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # オンプレミスの保護されたデータフローの CIDR ブロック、トンネル 1 と同じ (必要に応じて変更)
               remote_ts = 10.0.0.0/16            # Alibaba Cloud の保護されたデータフローの CIDR ブロック、トンネル 1 と同じ (必要に応じて変更)
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 2                       # スタンバイトンネルとして設定。変更しないでください。
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # Alibaba Cloud トンネル 1 のパブリック IP (必要に応じて変更)
         secret = your-psk-here                   # トンネル 1 の事前共有鍵、Alibaba Cloud と一致させる必要があります (必要に応じて変更)
      }
      ike-vco2 {
         id = XX.XX.2.2                           # Alibaba Cloud トンネル 2 のパブリック IP (必要に応じて変更)
         secret = your-psk-here                   # トンネル 2 の事前共有鍵、Alibaba Cloud と一致させる必要があります (必要に応じて変更)
      }
   }

5. トンネルステータスの起動と確認

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

両方のトンネルが ESTABLISHED と表示され、CHILD_SA が INSTALLED と表示されれば、strongSwan デバイスと Alibaba Cloud VPN Gateway 間の IPsec 接続は正常に確立されています。

接続性の検証

1. まず、ECS セキュリティグループのルールが ICMP トラフィックを許可していることを確認します。次に、strongSwan デバイスにログインし、次のコマンドを実行してクラウド上の ECS インスタンスに PING を送信します：

   ping 10.0.0.1

   応答パケットを受信した場合、クラウド VPC とオンプレミス IDC は正常に接続されています。

2. まず、ローカルのファイアウォールが ICMP トラフィックを許可していることを確認します。次に、VPC 内の ECS インスタンス (10.0.0.1) にログインし、strongSwan デバイスのプライベート IP アドレスに PING を送信します：

   ping 172.16.0.1

   応答パケットを受信した場合、逆方向の接続も機能しています。

高可用性の検証

1. ECS インスタンスから IDC サーバーへ継続的に PING を送信し続けます：

   ping 172.16.0.1 -c 10000

2. アクティブトンネルを中断させる：Alibaba Cloud コンソールで、アクティブトンネルの事前共有鍵を変更します (これにより、両側の鍵が異なります)。アクティブトンネルが切断されます。

3. PING の結果を観察します：トラフィックが一時的に停止し、その後再開します。これにより、スタンバイトンネルへの自動フェイルオーバーが確認できます。

4. アクティブトンネルを復元する：アクティブトンネルの事前共有鍵を正しい値に戻します。アクティブトンネルが回復すると、トラフィックは自動的に元に戻ります。