VPN Gateway:Standard VPN Gateway クイックスタート

1. ファイアウォールルールの設定

strongSwan デバイスで、ESP プロトコル (IP プロトコル番号 50)、UDP ポート 500、および UDP ポート 4500 を許可し、クラウド側の 2 つの IPsec アドレスからのアクセスを許可します。

以下は iptables を例としています。 実際に使用するファイアウォールツールに合わせてコマンドを調整してください。

iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p esp -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 500 -j ACCEPT
iptables -I INPUT -s XX.XX.1.1,XX.XX.2.2 -p udp --dport 4500 -j ACCEPT

2. IP フォワーディングの有効化

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sudo sysctl -p

3. strongSwan のインストール

dnf install epel-release -y
dnf install strongswan -y

4. strongSwan の設定

1. 元の設定ファイルをバックアップします：mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. 新しい設定ファイルを作成します：vi /etc/strongswan/swanctl/swanctl.conf

3. 以下の設定を追加して保存します。 例の中の IP アドレスと事前共有キーを実際の値に置き換えてください。

   # Alibaba Cloud Standard VPN Gateway + オンプレミスの単一パブリック送信 IP + 宛先ベースルーティング (トラフィックセレクター) 向けの strongSwan デュアルトンネル IPsec-VPN 設定
   #
   # 「(変更)」と記載されているパラメーターのみ、ご使用の環境に合わせて変更する必要があります。 他のすべてのパラメーターはデフォルトのままにしてください。
   # アルゴリズムに関する注記：aes128-sha1-modp1024 = AES-128 / SHA-1 / DH グループ 2 (コンソールのデフォルト)
   # アクティブ/スタンバイロジック：vco1 (priority=1) はアクティブトンネル、vco2 (priority=2) はスタンバイルンネルです。 アクティブトンネルに障害が発生すると、フェイルオーバーは自動的に実行されます。
   
   connections {
   
      # === トンネル 1 (アクティブ) ===
      vco1 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # (変更) strongSwan NIC のプライベート IP。 NAT 環境では、プライベート IP を使用します。 NIC がパブリック IP に関連付けられている場合は、パブリック IP を使用します。
         local {
            auth = psk
            id = XX.XX.3.3                        # (変更) オンプレミスのパブリック送信 IP
         }
   
         remote_addrs = XX.XX.1.1                 # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP
         remote {
            auth = psk
            id = XX.XX.1.1                        # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP。 前述の remote_addrs と一致させる必要があります。
         }
   
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16          # (変更) オンプレミスのトラフィックセレクターの CIDR ブロック
               remote_ts = 10.0.0.0/16            # (変更) Alibaba Cloud のトラフィックセレクターの CIDR ブロック
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 1                       # アクティブトンネルを指定します。 変更しないでください。
            }
         }
      }
   
      # === トンネル 2 (スタンバイ) ===
      vco2 {
         version = 2
         dpd_delay = 10
         rekey_time = 84600
         over_time = 1800
         proposals = aes128-sha1-modp1024
         encap = yes
   
         local_addrs  = 172.16.0.1                # (変更) strongSwan NIC のプライベート IP。 トンネル 1 の local_addrs と同じです。
         local {
            auth = psk
            id = XX.XX.3.3                        # (変更) オンプレミスのパブリック送信 IP。 トンネル 1 と同じです。
         }
   
         remote_addrs = XX.XX.2.2                 # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP
         remote {
            auth = psk
            id = XX.XX.2.2                        # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP。 前述の remote_addrs と一致させる必要があります。
         }
   
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16          # (変更) オンプレミスのトラフィックセレクターの CIDR ブロック。 トンネル 1 の local_ts と同じです。
               remote_ts = 10.0.0.0/16            # (変更) Alibaba Cloud のトラフィックセレクターの CIDR ブロック。 トンネル 1 の remote_ts と同じです。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes128-sha1-modp1024
               priority = 2                       # スタンバイルンネルを指定します。 変更しないでください。
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         id = XX.XX.1.1                           # (変更) Alibaba Cloud 上のトンネル 1 のパブリック IP
         secret = your-psk-here                   # (変更) トンネル 1 の事前共有キー。 Alibaba Cloud 側のキーと一致させる必要があります。
      }
      ike-vco2 {
         id = XX.XX.2.2                           # (変更) Alibaba Cloud 上のトンネル 2 のパブリック IP
         secret = your-psk-here                   # (変更) トンネル 2 の事前共有キー。 Alibaba Cloud 側のキーと一致させる必要があります。
      }
   }

5. strongSwan の起動とトンネルステータスの確認

sudo systemctl restart strongswan
swanctl --load-all
watch swanctl --list-sas

両方のトンネルが ESTABLISHED と表示され、CHILD_SA が INSTALLED 状態であれば、strongSwan デバイスと Alibaba Cloud VPN Gateway 間の IPsec-VPN 接続は正常に確立されています。

接続性の確認

1. ECS セキュリティグループのルールで 受信 ICMP トラフィックが許可されていることを確認してから、strongSwan デバイスにログインし、次のコマンドを実行してクラウド側の ECS に ping を実行します。

   ping 10.0.0.1

   応答パケットを受信した場合、クラウド側の VPC と IDC は相互に通信できます。

2. オンプレミスのファイアウォールで受信 ICMP トラフィックが許可されていることを確認し、次に、ECS インスタンスにログインして strongSwan デバイスに ping を実行します。

   ping 172.16.0.1

   応答パケットを受信した場合、逆方向の接続も正常です。

高可用性の確認

1. ECS インスタンスからオンプレミスサーバーへの長時間の ping を開始します。

   ping 172.16.0.1 -c 10000

2. アクティブトンネルを中断します：Alibaba Cloud コンソールで、アクティブトンネルの事前共有キーを変更して不一致を発生させます。

3. ping の結果を観察します：短い中断の後、トラフィックが再開されます。これは、トラフィックが自動的にスタンバイルンネルに切り替わったことを示します。

4. アクティブトンネルを復元します：事前共有キーを正しい値に戻します。 トンネルが回復すると、トラフィックはフェイルバックします。