IPsec-VPN は、データセンターやオフィスなどのオンプレミスネットワークと Alibaba Cloud VPC との間に暗号化トンネルを確立します。これにより、両サイドが同じプライベートネットワーク上にあるかのように通信できます。
Alibaba Cloud の VPN Gateway (VPN ゲートウェイ) は、中国の関連する国内政策および規制の範囲内でサービスを提供しており、非クロスボーダー接続の確立のみをサポートしています。クロスボーダー接続の要件がある場合は、Transit Router をご利用ください。
2 つのバインドモード
IPsec-VPN は 2 つの接続方法を提供します。接続する必要がある VPC の数に応じて、いずれかを選択してください：
VPN ゲートウェイへのバインド (単一 VPC の接続)
IPsec 接続を VPN ゲートウェイインスタンスにアタッチします。オンプレミスデータセンターを単一の VPC に接続する場合に最適です。オンプレミスデータセンターと単一 VPC
仕組み： オンプレミスゲートウェイデバイス ↔ IPsec-VPN トンネル ↔ VPN ゲートウェイ ↔ VPC
適用シナリオ：
単一の VPC に接続
同時に SSL-VPN をリモートアクセスに使用 (標準 VPN ゲートウェイのみ)
トランジットルーターへのバインド (複数 VPC の接続)
IPsec 接続を Cloud Enterprise Network (CEN) の Transit Router (トランジットルーター) に直接アタッチします。オンプレミスデータセンターを複数の VPC に接続する場合に最適です。オンプレミスデータセンターと複数 VPC
仕組み： オンプレミスゲートウェイデバイス ↔ IPsec-VPN トンネル ↔ トランジットルーター ↔ 複数 VPC
ユースケース：
同一または異なるリージョンにある複数の VPC に接続
高可用性のために等コストマルチパス (ECMP) 負荷分散が必要
接続あたり 1 Gbps を超える帯域幅が必要 (最大 2 Gbps)
コアコンポーネント
コンポーネント | 説明 |
Alibaba Cloud 側にデプロイされるゲートウェイデバイスで、暗号化トンネルのクラウド側エンドポイントとして機能します。拡張と標準の 2 つのタイプがあります。 | |
CEN のコアコンポーネントで、VPC 間およびリージョン間のトラフィック転送を担当します。複数 VPC のシナリオでは、VPN ゲートウェイの代わりにクラウド側エンドポイントとして機能します。 | |
オンプレミスゲートウェイデバイスのパブリック IP アドレスを記録する Alibaba Cloud 側の論理オブジェクトです。IPsec 接続を作成する際に参照する必要があります。 | |
クラウドからオンプレミスゲートウェイデバイスへの暗号化トンネルのパラメーターを定義します。これには、暗号化アルゴリズム、認証アルゴリズム、事前共有鍵 (PSK) が含まれます。 | |
オンプレミスデータセンターにある、IPsec VPN をサポートする物理デバイスまたはソフトウェア (strongSwan、Cisco、H3C など) で、クラウドとのネゴシエーションを行い、トンネルを確立する役割を担います。 |
説明を簡単にするため、このドキュメントでは、企業のオンプレミスデータセンターや企業のオフィスネットワークなど、Alibaba Cloud との IPsec-VPN 接続を確立する必要があるネットワークを総称してオンプレミスデータセンターと呼びます。
デュアルトンネルモード
デフォルトでは、各 IPsec 接続には2 つの暗号化トンネルが含まれています。複数ゾーンをサポートするリージョンでは、2 つのトンネルは異なるゾーンにデプロイされ、ゾーンレベルのディザスタリカバリを提供します。単一ゾーンのみをサポートするリージョン (例：中国 (武漢 - ローカルリージョン)) では、2 つのトンネルは同じゾーンにデプロイされます。この場合、ゾーンレベルのディザスタリカバリはサポートされませんが、リンク冗長性は引き続き利用可能です。
VPN ゲートウェイへのバインド：A-S モード
2 つのトンネルはアクティブ/スタンバイリンクとして機能します：アクティブ/スタンバイリンク
通常の状態では、トラフィックはアクティブトンネルのみを通過します。
アクティブトンネルに障害が発生した場合、トラフィックは自動的にスタンバイントンネルに切り替わります。
アクティブトンネルが回復すると、トラフィックは自動的に元に戻ります。
詳細については、「VPN ゲートウェイとの関連付け」をご参照ください。
トランジットルーターへのバインド：ECMP モード
2 つのトンネルは等コストマルチパス (ECMP) リンクを形成します：等コストマルチパス (ECMP) リンク
両方のトンネルが同時にトラフィックを送信し、負荷共有を実現します。
いずれかのトンネルに障害が発生した場合、トラフィックは自動的に残りのトンネルに収束します。
障害が発生したトンネルが回復すると、自動的にトラフィックの共有を再開します。
詳細については、「トランジットルーターとの関連付け」をご参照ください。
IPsec 接続を作成する際は、両方のトンネルが利用可能になるように設定してください。1 つのトンネルのみを設定または使用した場合、リンク冗長性とゾーンレベルのディザスタリカバリ機能を利用できず、VPN ゲートウェイは SLA を保証しません。
利用シーン
VPN ゲートウェイにバインドするシナリオ
VPC とデータセンター間：最も一般的なシナリオです。IPsec-VPN を介してオンプレミスデータセンターと Alibaba Cloud VPC を接続し、ハイブリッドクラウドネットワークを構築します。
VPC と VPC 間：IPsec-VPN を介して 2 つの VPC を迅速に接続し、VPC 間のリソース共有を可能にします。
マルチクラウド接続：Alibaba Cloud VPC を AWS や Azure などの他のクラウドプラットフォーム上の VPC に接続します。
マルチサイト接続：複数のオフィスネットワークを単一の VPN ゲートウェイに接続し、ハブアンドスポーク機能を使用してサイト間のプライベート通信を可能にします。
トランジットルーターにバインドするシナリオ
VPC とデータセンター間：オンプレミスデータセンターが IPsec-VPN とトランジットルーターを介して任意の VPC に接続します。複数の VPC へのアクセスが必要なシナリオに適しています。
高可用性 ECMP 接続：複数の IPsec 接続を同じトランジットルーターにアタッチして ECMP リンクを形成し、すべての接続が同時にトラフィックを伝送します。
Express Connect 回線の暗号化：物理的な Express Connect 回線を介して確立されたプライベートネットワーク接続を基に、IPsec-VPN を通じて回線トラフィックを暗号化し、トランジットルーターを介して複数の VPC を接続します。
グローバルマルチサイトフルメッシュ接続：複数のオンプレミスサイトを IPsec-VPN を使用して最寄りのトランジットルーターに接続し、CEN を使用してフルメッシュトポロジーを実現します。
シナリオ選択の推奨事項
暗号化アルゴリズムやパフォーマンス仕様を含む完全な比較については、「バインドモードの選択」をご参照ください。
課金
詳細については、「IPsec-VPN の課金」をご参照ください。