VPN Gateway:トランジットルーターの関連付けを開始する

リソース計画

• クラウドリソース：中国 (杭州) リージョンにおける VPC の CIDR ブロック 10.0.0.0/16

  • vSwitch 1：ゾーン H、CIDR ブロック 10.0.0.0/24

  • vSwitch 2：ゾーン J、CIDR ブロック 10.0.2.0/24

  • ECS インスタンス：vSwitch 上に展開、IP アドレス 10.0.0.1（接続性確認用）

  • CEN インスタンス：トランジットルーターをホストするために使用

  • トランジットルーター：中国 (杭州) リージョンに作成、TR の CIDR ブロック 10.10.10.0/24（VPC および IDC の CIDR ブロックと重複してはいけません）

• オンプレミスリソース：オンプレミス IDC の CIDR ブロック 172.16.0.0/16

  • strongSwan デバイス：プライベート IP アドレス 172.16.0.1

  • パブリック出口 IP：XX.XX.3.3

• 暗号化アルゴリズム：IKEv2、AES-128-CBC、SHA-1、DH グループ 2。トンネルの両端で同一の暗号化パラメーターを設定してください。

• ルーティング方式：宛先ベースのルーティングを使用します。トランジットルーターのルートテーブルに静的ルートを追加し、IDC の CIDR ブロック宛てトラフィックを VPN 接続へ転送します。

前提条件

• VPC の CIDR ブロックは、オンプレミス IDC の CIDR ブロックと重複してはいけません。

• VPC を作成し、2 つの異なるゾーンそれぞれに 1 つずつ vSwitch を作成します。接続性確認のため、VPC 内に少なくとも 1 つの ECS インスタンスを展開します。

• CEN インスタンスおよびトランジットルーター (TR) が作成済みであり、以下の条件を満たしている必要があります：

  • VPC をトランジットルーターにアタッチする

  • VPC とトランジットルーター間で ルート学習 および ルート同期 を有効化します。

  • TR に アドレスセグメント が構成済みである

• オンプレミス IDC 内に Linux サーバーを展開します。本トピックでは CentOS Stream 9 を例として使用します。サーバーには 1 つのパブリック出口 IP アドレスが必要です。このサーバーに strongSwan をインストールし、オンプレミスゲートウェイとして機能させます。

1．ファイアウォールポリシーの許可

strongSwan デバイス上で、クラウド側の 2 つの IPsec アドレスからの ESP プロトコル（IP プロトコル番号 50）、UDP ポート 500、UDP ポート 4500 を許可します。

たとえば、iptables を使用する場合、実際のファイアウォールツールに応じてコマンドを調整してください：

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT  
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2．IP フォワーディングの有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3．strongSwan のインストール

sudo dnf install epel-release -y
sudo dnf install strongswan -y

4．XFRM トンネルインターフェイスおよび updown スクリプトの作成

デュアルトンネルのシナリオでは、各トンネルのトラフィックを区別し、カーネルのルーティングポリシーの競合を回避するために、XFRM 仮想インターフェイスを作成します。

# XFRM トンネルインターフェイスの作成（トンネル 1 およびトンネル 2 用）
sudo ip link add xfrm1 type xfrm dev eth0 if_id 1
sudo ip link add xfrm2 type xfrm dev eth0 if_id 2
sudo ip link set xfrm1 up
sudo ip link set xfrm2 up

# 等コストマルチパス (ECMP) ルートの追加：クラウド側 CIDR ブロック宛てのトラフィックを両方のトンネルに分散
sudo ip route add 10.0.0.0/16 nexthop dev xfrm1 weight 1 nexthop dev xfrm2 weight 1

トンネルがダウンした際に、対応する XFRM インターフェイスを自動的に DOWN に設定する updown スクリプトを作成します。これにより、Linux カーネルがトラフィックをアクティブなトンネルに収束させます：

sudo tee /usr/local/bin/xfrm-updown.sh > /dev/null << 'EOF'
#!/bin/bash
XFRM_IF="xfrm${PLUTO_IF_ID_IN}"
case "${PLUTO_VERB}" in
    up-client)
        ip link set "${XFRM_IF}" up 2>/dev/null
        ;;
    down-client)
        ip link set "${XFRM_IF}" down 2>/dev/null
        ;;
esac
EOF
sudo chmod +x /usr/local/bin/xfrm-updown.sh

XFRM インターフェイスおよびルートを再起動後も永続化するには、XFRM インターフェイスおよびルートのコマンドを起動スクリプトに追加してください。

5．strongSwan の構成

1. 元の設定ファイルをバックアップします：

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します：

   vi /etc/strongswan/swanctl/swanctl.conf

3. 以下の設定を追加・保存します。例示されている IP アドレスおよび鍵を、実際の値に置き換えてください：

   # strongSwan デュアルトンネル IPsec-VPN 構成
   # Alibaba Cloud トランジットルーターと関連付けられた IPsec-VPN 接続 + オンプレミス側の単一パブリック出口 + 宛先ベースのルーティング用
   #
   # 「変更」マークが付いているパラメーターのみ変更が必要です。その他のパラメーターはデフォルト値のままにしてください。
   # XFRM インターフェイス（if_id）を使用して 2 つのトンネルのトラフィックを分離します。負荷分散には ECMP を使用します。
   
   connections {
   
      # === トンネル 1 ===
      tunnel1 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes128-sha1-modp1024
   
         local_addrs  = 172.16.0.1               # strongSwan デバイスの NIC IP（変更：NAT 環境ではプライベート IP を使用；NIC がパブリック IP にバインドされている場合はパブリック IP を使用）
         local {
            auth = psk
            id = XX.XX.3.3                         # オンプレミス側のパブリック出口 IP（変更）
         }
   
         remote_addrs = XX.XX.1.1                  # Alibaba Cloud トンネル 1 のパブリック IP（変更）
         remote {
            auth = psk
            id = XX.XX.1.1                         # Alibaba Cloud トンネル 1 のパブリック IP（上記 remote_addrs と同じ）（変更）
         }
   
         children {
            tunnel1-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes128-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               updown = /usr/local/bin/xfrm-updown.sh
               if_id_in = 1                        # xfrm1 インターフェイスに対応
               if_id_out = 1
            }
         }
   
         if_id_in = 1
         if_id_out = 1
      }
   
      # === トンネル 2 ===
      tunnel2 {
         version = 2
         dpd_delay = 10s
         rekey_time = 86400s
         proposals = aes128-sha1-modp1024
   
         local_addrs  = 172.16.0.1               # strongSwan デバイスの NIC IP（トンネル 1 と同じ）（変更）
         local {
            auth = psk
            id = XX.XX.3.3                         # オンプレミス側のパブリック出口 IP（トンネル 1 と同じ）（変更）
         }
   
         remote_addrs = XX.XX.2.2                  # Alibaba Cloud トンネル 2 のパブリック IP（変更）
         remote {
            auth = psk
            id = XX.XX.2.2                         # Alibaba Cloud トンネル 2 のパブリック IP（上記 remote_addrs と同じ）（変更）
         }
   
         children {
            tunnel2-child {
               local_ts  = 0.0.0.0/0
               remote_ts = 0.0.0.0/0
               mode = tunnel
               esp_proposals = aes128-sha1-modp1024
               dpd_action = restart
               start_action = start
               close_action = start
               updown = /usr/local/bin/xfrm-updown.sh
               if_id_in = 2                        # xfrm2 インターフェイスに対応
               if_id_out = 2
            }
         }
   
         if_id_in = 2
         if_id_out = 2
      }
   }
   
   secrets {
      ike-tunnel1 {
         id-1 = XX.XX.3.3                          # オンプレミス側のパブリック出口 IP（変更）
         id-2 = XX.XX.1.1                          # Alibaba Cloud トンネル 1 のパブリック IP（変更）
         secret = "your-psk-here"                  # トンネル 1 の事前共有鍵（Alibaba Cloud 側と一致させる必要があります）（変更）
      }
      ike-tunnel2 {
         id-1 = XX.XX.3.3                          # オンプレミス側のパブリック出口 IP（変更）
         id-2 = XX.XX.2.2                          # Alibaba Cloud トンネル 2 のパブリック IP（変更）
         secret = "your-psk-here"                  # トンネル 2 の事前共有鍵（Alibaba Cloud 側と一致させる必要があります）（変更）
      }
   }

   重要

   • if_id_in および if_id_out パラメーターは、各トンネルを対応する XFRM インターフェイス（xfrm1 または xfrm2）にバインドします。これにより、各トンネルのトラフィックが互いに干渉しないようになります。

   • local_ts および remote_ts を 0.0.0.0/0 に設定します。XFRM インターフェイスのルートテーブルが、どのトラフィックがトンネルに入るかを決定します。宛先ベースのルーティングモードでは、クラウド側のトラフィックセレクターも 0.0.0.0/0 です。

6．トンネルの起動およびステータスの確認

sudo systemctl enable strongswan
sudo systemctl restart strongswan
sudo swanctl --load-all
sudo swanctl --list-sas

両方のトンネルで ESTABLISHED が表示され、CHILD_SA で INSTALLED が表示された場合、strongSwan デバイスと Alibaba Cloud 間の IPsec-VPN 接続が正常に確立されています。

# 期待される出力例（一部省略）
tunnel1: #1, ESTABLISHED, IKEv2
  tunnel1-child: #1, reqid 1, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96
tunnel2: #2, ESTABLISHED, IKEv2
  tunnel2-child: #2, reqid 2, INSTALLED, TUNNEL-in-UDP, ESP:AES_CBC-128/HMAC_SHA1_96

接続性の確認

1. まず、ECS のセキュリティグループルールが ICMP トラフィックを許可していることを確認します。次に、strongSwan デバイスにログインし、以下のコマンドを実行してクラウド側の ECS に ping を実行します：

   ping 10.0.0.1

   応答が返ってきた場合、VPC とオンプレミス IDC 間の接続性は正常です。

2. まず、strongSwan デバイスまたは内部サーバーで ICMP トラフィックが許可されていることを確認します。次に、VPC 内の ECS インスタンス（10.0.0.1）にログインし、strongSwan デバイスのプライベート IP アドレスに ping を実行します：

   ping 172.16.0.1

   応答が返ってきた場合、逆方向の接続性も正常です。

高可用性の確認

デフォルトで、トランジットルーターと関連付けられた IPsec-VPN 接続は、両方のトンネル間で等コストマルチパス (ECMP) ルーティングを使用します。トラフィックはトンネル間で負荷分散されます。いずれかのトンネルが障害を起こした場合、手動介入なしにトラフィックがもう一方のトンネルに自動的に収束します。

1. ECS から IDC サーバーへの ping を継続的に実行します：

   ping 172.16.0.1 -c 10000

2. トンネルを切断します：Alibaba Cloud コンソールで、IPsec-VPN 接続のトンネル 1 の事前共有鍵を変更します。これによりトンネルが切断されます。

3. ping の結果を観察します：一時的な中断の後、接続性が復旧します。これは、トラフィックがトンネル 2 に収束したことを確認します。

4. トンネルを復元します：IPsec-VPN 接続のトンネル 1 の事前共有鍵を正しい値に再設定します。トンネルが復旧した後、トラフィックは両方のトンネル間で再び負荷分散されます。