VPN Gateway:従来型 VPN Gateway のクイックスタート

1. ファイアウォールルールの構成

strongSwan デバイスで、2 つの Alibaba Cloud IPsec アドレスからの ESP プロトコル（IP プロトコル番号 50）、UDP ポート 500、および UDP ポート 4500 のトラフィックを許可します。

以下のコマンドは iptables を例として示しています。使用しているファイアウォールツールに応じて、コマンドを調整してください。

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. IP 転送の有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. strongSwan のインストール

dnf install epel-release -y
dnf install strongswan -y

4. strongSwan の構成

1. 元の設定ファイルをバックアップします：mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します：vi /etc/strongswan/swanctl/swanctl.conf

3. 以下の設定を追加・保存します。サンプルの IP アドレスおよび事前共有鍵は、実際の値に置き換えてください。

   # strongSwan デュアルトンネル IPsec-VPN 構成：
   #   - Alibaba Cloud 従来型 VPN Gateway
   #   - オンプレミス単一パブリック出口 IP
   #   - 宛先ベースルーティング（トラフィックセレクター）
   #
   # 「(変更)」とマークされたパラメーターのみを変更してください。
   # アルゴリズムの備考：aes128-sha1-modp1024 は、AES-128 / SHA-1 / DH グループ 2（コンソールデフォルト）に対応します。
   # 高可用性ロジック：vco1（priority=1）はアクティブトンネル、vco2（priority=2）はスタンバイトンネルです。フェイルオーバーは自動的に行われます。
   
   connections {
   
      # === トンネル 1（アクティブ） ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # (変更) strongSwan NIC のプライベート IP アドレス。NAT 環境ではプライベート IP を使用します。NIC がパブリック IP にバインドされている場合は、パブリック IP を使用します。
         local {
            auth = psk
            id = XX.XX.3.3                        # (変更) オンプレミスのパブリック出口 IP。
         }
   
         remote_addrs = XX.XX.1.1                 # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP。
         remote {
            auth = psk
            id = XX.XX.1.1                        # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP。remote_addrs と一致させる必要があります。
         }
   
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # (変更) オンプレミスのトラフィックセレクター CIDR ブロック。
               remote_ts = 10.0.0.0/16            # (変更) Alibaba Cloud のトラフィックセレクター CIDR ブロック。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 1                       # アクティブトンネルを指定します。変更しないでください。
            }
         }
      }
   
      # === トンネル 2（スタンバイ） ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # (変更) strongSwan NIC のプライベート IP アドレス。トンネル 1 と同じです。
         local {
            auth = psk
            id = XX.XX.3.3                        # (変更) オンプレミスのパブリック出口 IP。トンネル 1 と同じです。
         }
   
         remote_addrs = XX.XX.2.2                 # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP。
         remote {
            auth = psk
            id = XX.XX.2.2                        # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP。remote_addrs と一致させる必要があります。
         }
   
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # (変更) オンプレミスのトラフィックセレクター CIDR ブロック。トンネル 1 と同じです。
               remote_ts = 10.0.0.0/16            # (変更) Alibaba Cloud のトラフィックセレクター CIDR ブロック。トンネル 1 と同じです。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 2                       # スタンバイトンネルを指定します。変更しないでください。
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP。
         secret = your-psk-here                   # (変更) トンネル 1 の事前共有鍵。Alibaba Cloud 上で構成した鍵と一致させる必要があります。
      }
      ike-vco2 {
         id = XX.XX.2.2                           # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP。
         secret = your-psk-here                   # (変更) トンネル 2 の事前共有鍵。Alibaba Cloud 上で構成した鍵と一致させる必要があります。
      }
   }

5. strongSwan の起動およびトンネルステータスの確認

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

両方のトンネルが ESTABLISHED ステータスを示し、CHILD_SA ステータスが INSTALLED である場合、strongSwan デバイスと Alibaba Cloud VPN Gateway 間の IPsec 接続が正常に確立されています。

接続性の検証

1. まず、ECS インスタンスのセキュリティグループルールが ICMP トラフィックを許可 していることを確認します。次に、strongSwan デバイスにログインし、以下のコマンドを実行してクラウド側の ECS インスタンスに ping を実行します。

   ping 10.0.0.1

   応答を受信した場合、VPC とオンプレミス IDC 間の通信が成功しています。

2. オンプレミスファイアウォールが ICMP トラフィックを許可していることを確認します。次に、VPC 内の ECS インスタンス（10.0.0.1）にログインし、strongSwan デバイスのプライベート IP アドレスに ping を実行します。

   ping 172.16.0.1

   応答を受信した場合、逆方向の接続性も正しく動作しています。

高可用性の検証

1. ECS インスタンスからオンプレミスサーバーへ継続的な ping を実行します。

   ping 172.16.0.1 -c 10000

2. アクティブトンネルを中断します：Alibaba Cloud コンソールで、アクティブトンネルの事前共有鍵を変更して不一致を発生させます。この操作により、トンネルが中断されます。

3. ping の結果を観察します：一時的な中断の後、通信が復旧します。これは、トラフィックが自動的にスタンバイトンネルにフェイルオーバーしたことを示します。

4. アクティブトンネルを復元します：事前共有鍵を正しい値に再設定します。トンネルが復旧すると、トラフィックが自動的に元のアクティブトンネルにフェイルバックします。